Questão de Arquitetura de Software — Segurança da Informação — FCC 2023

Segurança da Informação: Contratos Trabalhistas (ABNT NBR ISO/IEC 27001:2022)

Gabarito: letra A. O controle do Anexo A sobre "termos e condições de contratação" (controle A.7.1.1 na versão 2022) estabelece que os contratos trabalhistas devem declarar as responsabilidades do pessoal e da organização para a segurança da informação. É a recomendação central desse controle, e as demais alternativas extrapolam ou desviam do escopo do que a norma exige nesse ponto específico.

A banca cobra o conhecimento literal do teor do controle de segurança da informação referente a contratos. A norma ISO 27001:2022, em seu Anexo A, controle A.7.1.1 (antigo A.6.1.1 na versão 2013), determina que todos os empregados, contratados e terceiros devem concordar com os termos e condições de seu contrato, os quais devem incluir as responsabilidades pela segurança da informação, tanto do indivíduo quanto da organização.

Alternativa A — ✅ Correta ⟵ GABARITO

Reflete exatamente a exigência: "declarar as responsabilidades do pessoal e da organização para a segurança da informação". Esse é o núcleo do controle: definir no contrato quem é responsável pelo quê em termos de segurança da informação.

Alternativa B — ❌ Incorreta

O contrato não precisa conter a Política de Segurança da Informação completa. A política é um documento à parte; o contrato apenas deve mencioná-la ou referenciá-la, mas não transcrevê-la. A norma fala em "termos e condições" e "responsabilidades", não na política integral.

Alternativa C — ❌ Incorreta

Prever punições para transgressões não é o requisito do controle; isso faz parte de uma abordagem disciplinar, que é tratada em outros controles (como A.7.2.2 - Procedimentos disciplinares). O foco do controle sobre contratação é definir responsabilidades, não sanções.

Alternativa D — ❌ Incorreta

Indicar a comarca legal para disputas judiciais é uma cláusula contratual comum, mas não é o propósito do controle de segurança da informação no Anexo A. A norma não exige essa informação no contrato para atender ao controle.

Alternativa E — ❌ Incorreta

As regras para utilização de senhas e ativos são tratadas em controles específicos (ex.: A.8.1.1 - Gerenciamento de ativos; A.9.2.1 - Gerenciamento de senhas). O contrato pode mencionar essas regras, mas a essência do controle sobre contratação é a declaração de responsabilidades, não a definição operacional de senhas.