Questão de Segurança da Informação — Norma ISO 27001 — CESGRANRIO 2024
Segurança da Informação›Norma ISO 27001
Código
cg020898
Banca
CESGRANRIO
Órgão
BNDES
Ano
2024
Nível
Superior
Cargo
Analista - Análise de Sistemas - Cibersegurança (Manhã)
Um Sistema de Gestão da Segurança da Informação (SGSI) deve ser integrado aos processos da organização e à estrutura de administração global para que a segurança da informação seja considerada no projeto dos processos, sistemas de informação e controles. A organização deve melhorar continuamente a pertinência, a adequação e a eficácia do SGSI. A norma ABNT NBR ISO/IEC 27001:2022 define vários itens que fazem parte da melhoria do SGSI.Dentre esses itens, encontra-se a(o)
Aauditoria interna
Banálise crítica pela direção
Cnão conformidade e ação corretiva
Dmonitoramento, a medição, a análise e a avaliação
Etratamento de riscos de segurança da informação
Revelar gabarito e comentário▾
GabaritoC — não conformidade e ação corretiva
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Melhoria do SGSI na ISO/IEC 27001
Gabarito: letra C. Na ABNT NBR ISO/IEC 27001:2022, o capítulo dedicado à melhoria (Capítulo 10) inclui o item "Não conformidade e ação corretiva" como um dos requisitos para a melhoria contínua do SGSI. As demais alternativas pertencem a outros capítulos (principalmente ao Capítulo 9 – Avaliação de desempenho).
A banca testa o conhecimento da estrutura de capítulos da norma ISO 27001, que segue o ciclo PDCA. É fundamental saber que:
Capítulo 6: Planejamento (inclui tratamento de riscos)
Capítulo 7: Suporte
Capítulo 8: Operação
Capítulo 9: Avaliação de desempenho (inclui monitoramento, auditoria interna, análise crítica pela direção)
Capítulo 10: Melhoria (inclui não conformidade e ação corretiva, e melhoria contínua)
Alternativa
Item
Capítulo na ISO 27001
Parte da melhoria?
A
Auditoria interna
9.2 (Avaliação de desempenho)
Não
B
Análise crítica pela direção
9.3 (Avaliação de desempenho)
Não
C
Não conformidade e ação corretiva
10.1 (Melhoria)
Sim
D
Monitoramento, medição, análise e avaliação
9.1 (Avaliação de desempenho)
Não
E
Tratamento de riscos
6.1 / 8.3 (Planejamento/Operação)
Não
1Planejamento (Cap. 6)Tratamento de riscos
2Suporte (Cap. 7)
3Operação (Cap. 8)
4Avaliação (Cap. 9)Auditoria, análise crítica
5Melhoria (Cap. 10)Não conformidade e ação corretiva
LEVEL · soulevel.com.br
Alternativa A — ❌ Incorreta
A auditoria interna é item do capítulo 9 (Avaliação de desempenho), não do capítulo de melhoria. A confusão comum é pensar que auditoria gera melhoria, mas na estrutura da norma ela está na avaliação.
Alternativa B — ❌ Incorreta
A análise crítica pela direção também está no capítulo 9 (item 9.3). A alta direção analisa criticamente o SGSI para assegurar sua adequação, mas isso é avaliação, não melhoria em si.
Alternativa C — ✅ Correta ⟵ GABARITO
O item "Não conformidade e ação corretiva" é o primeiro subitem do capítulo 10 (Melhoria). A norma exige que a organização trate as não conformidades e tome ações corretivas para eliminar suas causas e evitar recorrência, contribuindo diretamente para a melhoria do SGSI.
Alternativa D — ❌ Incorreta
Monitoramento, medição, análise e avaliação são atividades do capítulo 9 (item 9.1). Embora gerem insumos para a melhoria, formalmente estão na avaliação de desempenho.
Alternativa E — ❌ Incorreta
O tratamento de riscos é parte do planejamento (capítulo 6) e da operação (capítulo 8, anexo A). Não está no capítulo de melhoria.
PEGA ESSA DICA!
Para memorizar os capítulos da ISO 27001, use o mnemônico P-S-O-A-M: Planejamento (6), Suporte (7), Operação (8), Avaliação (9), Melhoria (10). Lembre-se de que "Melhoria" é o último capítulo e inclui apenas dois itens: "Não conformidade e ação corretiva" e "Melhoria contínua".