Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — FCC 2026

Gestão de riscos com fornecedores na ABNT NBR ISO/IEC 27001

Gabarito: letra B. A norma exige que a organização estabeleça e implemente processos para gerenciar os riscos de segurança da informação associados ao uso dos serviços de fornecedores — exatamente o que a alternativa B afirma, em linha com o controle 5.19 da ABNT NBR ISO/IEC 27001. As demais alternativas ou transferem indevidamente a responsabilidade, ou adotam medidas pontuais e insuficientes, contrariando a lógica do SGSI.

A ABNT NBR ISO/IEC 27001 é a norma de requisitos para o Sistema de Gestão de Segurança da Informação (SGSI). Ela não é um checklist de controles soltos: exige que a organização adote uma abordagem baseada em riscos, avaliando continuamente as ameaças e vulnerabilidades e tratando os riscos de forma planejada. Quando um serviço é prestado por terceiros, o risco não desaparece — ele apenas muda de natureza. A organização continua sendo a responsável pela segurança da informação, mesmo que a execução seja terceirizada. Por isso, a norma prevê controles específicos para a relação com fornecedores, como o controle 5.19, que trata da segurança da informação nas relações com fornecedores.

O controle 5.19 da ABNT NBR ISO/IEC 27001 estabelece que:

Esse controle é a base direta da alternativa B. Ele deixa claro que a organização deve gerenciar os riscos associados ao uso de serviços de fornecedores, e não simplesmente exigir um certificado, restringir acessos ou fazer uma avaliação única. A gestão de riscos é um processo contínuo, que envolve identificar, analisar, avaliar e tratar riscos, além de monitorar e revisar periodicamente.

A norma também reforça a necessidade de avaliações de riscos a intervalos planejados ou quando mudanças significativas ocorrerem, como a contratação de um novo fornecedor. O item 8.2 da norma trata exatamente disso:

A contratação de uma empresa terceirizada para desenvolver um sistema de cobrança de dívidas ativas é, sem dúvida, uma mudança significativa no contexto da Secretaria da Fazenda. Portanto, a avaliação de riscos deve ser feita antes e durante a prestação do serviço, e os riscos identificados devem ser tratados por meio de processos e procedimentos adequados.

A alternativa B é a única que reflete integralmente essa obrigação. As demais alternativas apresentam soluções incompletas ou equivocadas, como veremos a seguir.

Alternativa A — ❌ Incorreta

A alternativa A sugere que a Secretaria da Fazenda deve apenas solicitar um certificado de conformidade com a ISO/IEC 27001 à empresa terceirizada, dispensando a necessidade de controles específicos por parte da Secretaria. Isso está errado por dois motivos: primeiro, a certificação da fornecedora não elimina a responsabilidade da contratante em gerenciar os riscos associados ao serviço; segundo, a norma exige que a organização implemente seus próprios processos de gestão de riscos, independentemente da certificação do fornecedor. A certificação é um indicativo de que a fornecedora tem um SGSI, mas não substitui a análise de riscos específica do contexto da contratação.

Alternativa B — ✅ Correta ⟵ GABARITO

A alternativa B está correta porque reflete exatamente o que a norma exige: estabelecer e implementar processos para gerenciar os riscos de segurança da informação associados ao uso dos serviços do fornecedor. Isso está previsto no controle 5.19 da ABNT NBR ISO/IEC 27001, que determina que processos e procedimentos devem ser definidos e implementados para gerenciar esses riscos. A Secretaria da Fazenda deve, portanto, avaliar os riscos da terceirização, definir controles adequados e monitorar continuamente a prestação do serviço.

Alternativa C — ❌ Incorreta

A alternativa C propõe restringir o acesso da equipe terceirizada ao ambiente de desenvolvimento, sem a necessidade de monitoramento contínuo, uma vez que o contrato já estabelece cláusulas de confidencialidade. Essa alternativa é incorreta porque a restrição de acesso é apenas um controle pontual, e o monitoramento contínuo é essencial para garantir a eficácia das medidas de segurança. Além disso, cláusulas de confidencialidade não eliminam a necessidade de monitoramento e de gestão de riscos. A norma exige uma abordagem abrangente, que inclui monitoramento e revisão contínuos.

Alternativa D — ❌ Incorreta

A alternativa D sugere realizar uma única avaliação de riscos no início do projeto e adotar os controles listados no Anexo A da norma como medida suficiente para toda a duração do contrato. Isso está errado porque a avaliação de riscos deve ser contínua, e não pontual. O item 8.2 da norma exige avaliações a intervalos planejados ou quando mudanças significativas ocorrerem. Além disso, os controles do Anexo A são uma referência, mas devem ser selecionados com base na avaliação de riscos específica da organização, não aplicados de forma genérica e estática.

Alternativa E — ❌ Incorreta

A alternativa E propõe designar um auditor interno para acompanhar diariamente as atividades de codificação da equipe terceirizada, garantindo o cumprimento dos prazos e a qualidade do código. Essa alternativa é incorreta porque o foco da norma não é o acompanhamento diário da codificação, mas sim a gestão de riscos de segurança da informação. Além disso, a auditoria interna, conforme o item 9.2.1 da norma, deve ser conduzida a intervalos planejados, e não diariamente. A qualidade do código e o cumprimento de prazos são aspectos de gestão de projetos, não de segurança da informação.

Gabarito: letra B