Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — FCC 2026

Política de Segurança da Informação e Planos de Continuidade

Gabarito: letra A. A abordagem correta é que o Plano de Contingência e o Plano de Recuperação de Desastres sejam instrumentos práticos alinhados à PSI, detalhando procedimentos e responsabilidades para manter a continuidade dos serviços essenciais, reduzir impactos e restabelecer a operação após incidentes graves. A PSI estabelece as diretrizes estratégicas, enquanto os planos operacionais traduzem essas diretrizes em ações concretas — é essa relação de complementaridade que a alternativa A espelha.

A Política de Segurança da Informação (PSI) é o documento de mais alto nível na hierarquia de segurança da informação de uma organização. Ela define os objetivos, princípios e diretrizes gerais que orientam todas as demais ações de segurança. No setor público, a PSI deve estar alinhada à Política Nacional de Segurança da Informação (PNSI), que estabelece princípios como a orientação à gestão de riscos e a prevenção e tratamento de incidentes de segurança da informação. A PNSI, instituída pelo Decreto nº 9.637/2018, tem como finalidade assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação em âmbito nacional.

Os planos operacionais — como o Plano de Contingência e o Plano de Recuperação de Desastres — são desdobramentos práticos da PSI. Enquanto a PSI define o "o quê" e o "porquê" (as diretrizes estratégicas), os planos definem o "como", "quem" e "quando" (os procedimentos operacionais). O Plano de Contingência estabelece as ações imediatas para lidar com interrupções, definindo funções e responsabilidades das equipes antes, durante e após a ocorrência. Já o Plano de Recuperação de Desastres foca em restabelecer o funcionamento dos principais ativos que suportam as operações, reduzindo o tempo de queda e os impactos. Ambos são essenciais para garantir a continuidade dos serviços, especialmente em órgãos públicos que prestam serviços essenciais à população.

A norma ISO/IEC 27001, que estabelece os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), reforça essa visão. A Alta Direção deve estabelecer uma política de segurança da informação apropriada ao propósito da organização, que inclua os objetivos de segurança e o comprometimento com a melhoria contínua. A norma também exige que a organização planeje ações para abordar riscos e oportunidades, o que inclui a preparação para incidentes e a garantia de continuidade. Os planos de contingência e recuperação são, portanto, parte integrante do SGSI, materializando as diretrizes da PSI em procedimentos concretos.

A distinção fundamental que a questão explora é entre o nível estratégico (PSI) e o nível operacional (planos). A PSI não pode ser tão detalhada a ponto de substituir os planos, nem os planos podem existir sem estar alinhados à PSI. A banca tenta confundir o candidato apresentando alternativas que invertem essa hierarquia ou que limitam indevidamente o escopo dos planos. O critério decisivo é: os planos são instrumentos de implementação da PSI, não substitutos dela, e devem abranger todos os cenários de incidentes, não apenas alguns.

Alternativa A — ✅ Correta ⟵ GABARITO

Esta alternativa está correta porque descreve com precisão a relação entre a PSI e os planos operacionais. O Plano de Contingência e o Plano de Recuperação de Desastres devem estar alinhados à PSI, servindo como instrumentos práticos que detalham procedimentos e responsabilidades. Eles existem para manter a continuidade dos serviços essenciais, reduzir impactos e restabelecer a operação após incidentes graves. Essa é exatamente a função desses planos: traduzir as diretrizes estratégicas da PSI em ações concretas e executáveis.

Alternativa B — ❌ Incorreta

Esta alternativa está incorreta porque afirma que a PSI deve ser independente de planos operacionais e suficiente por si só. A PSI é um documento estratégico que estabelece diretrizes gerais, mas não pode detalhar todos os procedimentos operacionais necessários para restabelecer serviços após um desastre. Os planos operacionais são complementos indispensáveis, pois definem as ações específicas, os responsáveis e os recursos necessários. Sem eles, a PSI seria apenas um documento de intenções sem aplicação prática.

Alternativa C — ❌ Incorreta

Esta alternativa está incorreta porque propõe que o Plano de Recuperação de Desastres pode substituir integralmente a PSI. Isso inverte a hierarquia documental: a PSI é o documento de mais alto nível, que estabelece as diretrizes estratégicas, enquanto o Plano de Recuperação de Desastres é um documento operacional subordinado. O plano foca em aspectos específicos de continuidade e recuperação, mas não abrange todas as dimensões da segurança da informação que a PSI deve cobrir, como confidencialidade, integridade e conformidade legal.

Alternativa D — ❌ Incorreta

Esta alternativa está incorreta porque afirma que apenas a existência da PSI já atende às exigências legais de continuidade de serviços. No setor público, a continuidade de serviços é uma exigência que vai além da mera existência de uma política. A PNSI e as normas de segurança da informação exigem a implementação de medidas concretas, incluindo planos de contingência e recuperação. A PSI é o ponto de partida, mas não é suficiente por si só — é necessário que haja planos operacionais que garantam a continuidade na prática.

Alternativa E — ❌ Incorreta

Esta alternativa está incorreta porque limita o Plano de Contingência a situações de falhas de energia elétrica. O plano de contingência deve abranger todos os cenários de incidentes que possam interromper as operações, incluindo ataques cibernéticos, indisponibilidade de infraestrutura em nuvem, desastres naturais, entre outros. A limitação a um único cenário é uma visão restrita e inadequada, que deixaria a organização despreparada para a maioria dos incidentes reais.

Gabarito: letra A