Questão de Segurança da Informação — Eventos e Incidentes de Segurança (NBR ISO/IEC 27001, 27002 e outras) — FCC 2026

Proteção contra malware na ABNT NBR ISO/IEC 27002:2022

Gabarito: letra C. A alternativa correta espelha a diretriz de implementação do controle 8.7 da ABNT NBR ISO/IEC 27002:2022, que prevê proteção contra malware baseada em software de detecção e reparo, conscientização sobre segurança da informação, acesso adequado aos sistemas e controles de gestão de mudanças. As demais alternativas tratam de controles distintos da norma (backup, gestão de configuração, gestão de incidentes e privacidade), que não correspondem ao propósito de proteção contra malware.

A ABNT NBR ISO/IEC 27002:2022 é o código de prática para controles de segurança da informação, ou seja, um guia de boas práticas que orienta a implementação de controles, sem caráter certificável (diferente da ISO/IEC 27001, que é a norma de requisitos para o SGSI). A versão 2022 reestruturou os controles em 4 categorias — organizacionais, de pessoas, físicos e tecnológicos — e reduziu o total de 114 para 93 controles, agrupando os redundantes e adicionando novos, como o controle 8.7 (Proteção contra malware), que pertence à categoria tecnológica.

O controle 8.7 estabelece que a proteção contra malware deve ser implementada e apoiada pela conscientização adequada do usuário, com o propósito de assegurar que informações e outros ativos associados estejam protegidos contra malwares. A diretriz de implementação desse controle é justamente o que a alternativa C descreve: estabelecer proteção contra malware baseada em software de detecção e reparo, conscientização sobre segurança da informação, acesso adequado aos sistemas e controles de gestão de mudanças. Ou seja, a norma não se limita a uma única ferramenta técnica — ela combina mecanismos tecnológicos (antivírus/antimalware), fatores humanos (conscientização), controle de acesso e gestão de mudanças para formar uma defesa em profundidade.

A pegadinha da questão está em associar o controle de proteção contra malware a outros controles da norma que, embora relacionados à segurança da informação, têm propósitos distintos. Por exemplo, backup (alternativa A) é o controle 8.13, que trata da recuperação de informações após incidentes; gestão de configuração (alternativa B) é o controle 8.9, que trata de impor configurações definidas para sistemas; gestão de incidentes (alternativa D) é o controle 5.24/5.25, que trata da categorização e priorização de incidentes; e privacidade (alternativa E) é o controle 5.34, que trata da proteção de dados pessoais. A banca mistura esses controles para testar se o candidato conhece a diretriz específica do controle 8.7.

Guarde a fronteira entre os controles: cada um tem um propósito específico e uma diretriz de implementação própria. É exatamente nessa distinção que as alternativas se dividem — a correta é a que descreve a diretriz literal do controle 8.7, enquanto as demais descrevem diretrizes de outros controles.

Alternativa A — ❌ Incorreta

Esta alternativa descreve o controle de backup (controle 8.13 da ISO/IEC 27002:2022), que visa assegurar a recuperação de informações e softwares essenciais após incidentes, falhas ou perda de mídia. Embora o backup seja uma medida importante para mitigar os efeitos de um ataque de malware (como ransomware), ele não é a diretriz de implementação do controle de proteção contra malware — é um controle distinto, com propósito de garantir a disponibilidade e recuperação, não a prevenção contra malwares.

Alternativa B — ❌ Incorreta

Esta alternativa descreve o controle de gestão de configuração (controle 8.9 da ISO/IEC 27002:2022), que trata de definir e implementar processos e ferramentas para impor configurações definidas para hardware, software, serviços e redes, a fim de evitar vulnerabilidades. Embora a gestão de configuração ajude a reduzir a superfície de ataque e mitigar explorações de vulnerabilidades zero-day, ela não é a diretriz do controle de proteção contra malware — é um controle tecnológico distinto, com foco em configuração segura, não em detecção e reparo de malware.

Alternativa C — ✅ Correta ⟵ GABARITO

Esta alternativa reproduz fielmente a diretriz de implementação do controle 8.7 da ABNT NBR ISO/IEC 27002:2022. A norma orienta que a organização estabeleça proteção contra malware baseada em software de detecção e reparo (antivírus/antimalware), conscientização sobre segurança da informação (fator humano), acesso adequado aos sistemas (controle de acesso) e controles de gestão de mudanças (para evitar que alterações não autorizadas introduzam malwares). Essa combinação de medidas técnicas, humanas e processuais é exatamente o que o controle 8.7 preconiza.

Alternativa D — ❌ Incorreta

Esta alternativa descreve o controle de gestão de incidentes de segurança da informação (controles 5.24, 5.25 e 5.26 da ISO/IEC 27002:2022), que trata da categorização e priorização de incidentes para identificar consequências e prioridades. Embora incidentes de malware possam ser categorizados e priorizados, esse controle tem propósito distinto — responder a incidentes já ocorridos, não prevenir a infecção por malware. A diretriz do controle 8.7 é preventiva, focada em detecção, conscientização, acesso e gestão de mudanças.

Alternativa E — ❌ Incorreta

Esta alternativa descreve o controle de privacidade e proteção de dados pessoais (controle 5.34 da ISO/IEC 27002:2022), que trata do estabelecimento e comunicação de uma política específica sobre privacidade e proteção de dados pessoais para todas as partes interessadas. Embora a proteção de dados pessoais seja um aspecto importante da segurança da informação, esse controle tem propósito distinto — proteger dados pessoais, não prevenir infecções por malware. A diretriz do controle 8.7 não menciona política de privacidade, mas sim software de detecção, conscientização, acesso e gestão de mudanças.

Gabarito: letra C