Questão de Segurança da Informação — SGSI, Controles e Estrutura das Normas da Família 27000 (ISO/IEC 27001, 27002, etc.) — FCC 2026

Gestão de Segurança da Informação baseada em risco na ISO/IEC 27001

Gabarito: letra C. A abordagem que melhor atende aos requisitos da NBR ISO/IEC 27001:2024 é a que integra fontes distintas de informação de segurança — alertas do SIEM, resultados de varredura de vulnerabilidades e criticidade dos ativos — em um processo de correlação contínua, pois é isso que permite uma resposta a incidentes contextualizada e priorizada, alinhada à gestão de riscos que a norma exige. As demais alternativas, embora mencionem ferramentas e práticas válidas de segurança, falham por serem pontuais, isoladas ou por não considerarem o contexto organizacional e a criticidade dos ativos.

A NBR ISO/IEC 27001:2024 estabelece os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), cujo coração é a gestão de riscos. A norma não prescreve ferramentas específicas, mas exige que a organização entenda seu contexto, identifique riscos, os avalie e trate de forma planejada. A eficácia da segurança não vem de uma ferramenta isolada, mas da integração e correlação de informações que permitem enxergar o cenário completo de ameaças e vulnerabilidades em relação aos ativos que precisam ser protegidos.

A alternativa C captura exatamente essa essência: correlacionar alertas do SIEM (que indicam eventos suspeitos em tempo real), resultados de varredura de vulnerabilidades (que revelam falhas conhecidas nos sistemas) e a criticidade dos ativos (que diz o quão importante cada sistema é para o negócio). Essa correlação permite priorizar a resposta: um alerta em um ativo crítico com vulnerabilidade explorável é muito mais urgente do que o mesmo alerta em um sistema periférico. É a aplicação prática do princípio de gestão de riscos — a resposta é proporcional ao risco.

As outras alternativas apresentam práticas válidas, mas incompletas ou descontextualizadas. Monitorar logs de firewall (A) é importante, mas foca apenas em uma fonte de dados e em ameaças externas, ignorando o contexto interno e a criticidade dos ativos. Usar IA para detecção de anomalias (B) é moderno, mas mantê-la isolada dos demais sistemas de gestão de segurança impede a correlação e a visão integrada que a norma busca. Corrigir vulnerabilidades com base apenas no CVSS (D) é uma prática reativa e genérica, que não considera o contexto de exposição e a importância do ativo para a organização. Criar um IPS com bloqueio automático por listas de ameaças (E) é uma medida pontual e reativa, que não se beneficia da inteligência gerada pela correlação de eventos.

A pegadinha da banca está em apresentar alternativas que são tecnicamente plausíveis, mas que não atendem ao requisito central do enunciado: uma gestão integrada e baseada em risco, que permita uma resposta contextualizada e priorizada. A palavra-chave é integração. A norma ISO 27001 não é sobre ferramentas isoladas, mas sobre um sistema de gestão que conecta processos, informações e decisões.

Alternativa A — ❌ Incorreta

Estabelecer o monitoramento na análise de logs de firewalls de borda, com foco na identificação de padrões de tráfego anômalos oriundos de fontes externas, é uma prática de segurança válida, mas limitada e descontextualizada. Ela se concentra em uma única fonte de dados (logs de firewall) e em um único tipo de ameaça (externa), ignorando:

• Ameaças internas (insiders, malware que já está dentro da rede);

• A criticidade dos ativos (um alerta em um servidor crítico é mais urgente que em um equipamento periférico);

• A correlação com outras fontes de informação (vulnerabilidades conhecidas, comportamento de usuários).

A norma ISO 27001 exige uma visão holística da segurança, baseada em riscos, e não uma ação pontual de monitoramento de perímetro.

Alternativa B — ❌ Incorreta

Utilizar ferramentas de inteligência artificial para detecção de anomalias comportamentais é uma técnica avançada e útil, mas a alternativa comete um erro crucial ao afirmar que essas ferramentas devem ser mantidas "isoladas dos demais sistemas de gestão de segurança da organização". Isso é exatamente o oposto do que a norma preconiza. A ISO 27001 valoriza a integração e a correlação de informações. Uma ferramenta de IA isolada não consegue enriquecer seus alertas com o contexto de vulnerabilidades, criticidade de ativos ou outros eventos de segurança, gerando uma resposta menos eficaz e priorizada.

Alternativa C — ✅ Correta ⟵ GABARITO

Esta alternativa descreve a abordagem mais alinhada aos princípios da ISO 27001:2024. Estabelecer um processo de correlação contínua entre:

• Alertas de segurança do SIEM (Security Information and Event Management): fornecem visibilidade em tempo real sobre eventos e incidentes;

• Resultados de varredura de vulnerabilidades: indicam falhas conhecidas que podem ser exploradas;

• Informações de criticidade de ativos do inventário organizacional: mostram quais sistemas são mais importantes para o negócio.

Essa correlação permite que a organização priorize a resposta a incidentes com base no risco real que cada evento representa. Um alerta em um ativo crítico, com uma vulnerabilidade explorável, terá prioridade máxima. Isso é a essência da gestão de riscos aplicada à segurança da informação, conforme exigido pela norma.

Alternativa D — ❌ Incorreta

Estabelecer a correção de vulnerabilidades com base apenas na pontuação CVSS (Common Vulnerability Scoring System) é uma prática comum, mas incompleta e não contextualizada. O CVSS fornece uma pontuação de severidade da vulnerabilidade, mas não considera:

• A exposição real do ativo (uma vulnerabilidade crítica em um sistema isolado da internet pode ser menos urgente que uma vulnerabilidade média em um sistema exposto);

• A criticidade do ativo para o negócio;

• A probabilidade de exploração no contexto específico da organização.

A norma ISO 27001 exige uma abordagem baseada em risco, que vai além da simples pontuação de severidade. Além disso, a alternativa menciona varredura trimestral, o que pode não ser suficiente para uma resposta ágil a novas vulnerabilidades.

Alternativa E — ❌ Incorreta

Criar um Sistema de Prevenção de Intrusões (IPS) na rede interna, configurado para bloquear automaticamente qualquer tentativa de acesso que envolva endereços IP previamente identificados em listas de ameaças, é uma medida de segurança reativa e pontual. Embora um IPS seja uma ferramenta útil, esta alternativa apresenta várias limitações:

• Dependência de listas de ameaças: essas listas podem estar desatualizadas e não cobrir ameaças novas ou desconhecidas (zero-day);

• Bloqueio automático: pode gerar falsos positivos, bloqueando tráfego legítimo e causando indisponibilidade;

• Falta de contexto: não considera a criticidade do ativo ou a natureza do tráfego, apenas o endereço IP de origem.

A abordagem da ISO 27001 é mais ampla e integrada, buscando prevenir, detectar e responder a incidentes de forma coordenada, e não apenas bloquear endereços IP suspeitos.

Gabarito: letra C — a correlação contínua entre SIEM, vulnerabilidades e criticidade de ativos é a abordagem que materializa a gestão de riscos integrada exigida pela NBR ISO/IEC 27001:2024.