Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — FCC 2026

Governança de Políticas de Segurança da Informação: papéis e responsabilidades

Gabarito: letra D. A política de segurança da informação deve ser elaborada por um grupo multidisciplinar, aprovada pela alta administração (que detém a autoridade sobre políticas institucionais), implementada pela área de TI com apoio das demais áreas e monitorada por uma função independente (auditoria ou compliance). Esse modelo reflete as boas práticas de governança e os requisitos da ABNT NBR ISO/IEC 27001, que atribuem à direção a responsabilidade de estabelecer e aprovar a política, e preveem a análise crítica periódica da conformidade.

A elaboração de uma política de segurança da informação não é uma tarefa exclusiva da área de tecnologia. Pelo contrário, as melhores práticas de governança — e a própria norma ABNT NBR ISO/IEC 27001 — indicam que a política deve ser construída de forma colaborativa, envolvendo as áreas de negócio, a área jurídica e a alta administração. Isso porque a política não trata apenas de aspectos técnicos (como firewalls e criptografia), mas também de processos, pessoas e conformidade legal, como a LGPD e o sigilo fiscal.

A norma ABNT NBR ISO/IEC 27001, em seu item 5.4, estabelece que "a direção deve requerer que todo o pessoal aplique a segurança da informação de acordo com a política da segurança da informação estabelecida". Isso demonstra que a política é uma diretriz institucional, que precisa ser aprovada e endossada pela alta administração para ter legitimidade e ser efetivamente cumprida. Além disso, o item 5.36 da mesma norma determina que "o compliance com a política de segurança da informação da organização, políticas específicas por tema, regras e normas deve ser analisado criticamente a intervalos regulares", o que reforça a necessidade de um monitoramento contínuo e independente.

Na prática, o processo de criação de uma política de segurança da informação segue um fluxo bem definido: (1) um grupo de trabalho multidisciplinar elabora o documento, considerando os requisitos de negócio, técnicos e legais; (2) a alta administração aprova formalmente a política, demonstrando seu comprometimento; (3) a área de TI implementa os controles técnicos necessários, com o apoio das demais áreas; e (4) uma função independente, como auditoria interna ou compliance, monitora a conformidade com a política e reporta os resultados à alta administração. Esse ciclo garante que a política seja relevante, aplicável e efetivamente cumprida.

A alternativa D é a única que descreve corretamente todos esses papéis e responsabilidades. As demais alternativas apresentam distorções: algumas concentram poder demais na área técnica, outras atribuem a aprovação a um nível hierárquico inadequado, e outras ainda fragmentam a política de forma prejudicial à padronização institucional. A chave para resolver a questão é entender que a política de segurança da informação é um instrumento de governança, não um mero documento técnico.

Alternativa A — ❌ Incorreta

Esta alternativa erra ao afirmar que a equipe técnica de infraestrutura de TI deve elaborar, aprovar e implementar a política de forma autônoma. A política de segurança da informação é uma diretriz institucional que afeta toda a organização, não apenas a área de tecnologia. A aprovação deve ser feita pela alta administração, que possui autoridade sobre políticas institucionais, e não pela equipe técnica. Além disso, a alternativa sugere que as áreas de negócio devem "restringir" as determinações técnicas, o que é um contrassenso: as áreas de negócio devem participar da elaboração da política para garantir que ela atenda às necessidades da organização, não para limitar a atuação da TI.

Alternativa B — ❌ Incorreta

Esta alternativa erra ao atribuir a aprovação da política ao "secretário-adjunto administrativo". A aprovação de uma política de segurança da informação deve ser feita pela alta administração, ou seja, pelo nível hierárquico mais alto da organização, que possui autoridade para estabelecer diretrizes institucionais. O secretário-adjunto administrativo, embora possa ter um papel relevante, não é o nível adequado para aprovar uma política dessa natureza. Além disso, a alternativa não menciona a necessidade de um monitoramento independente, o que é um requisito importante das boas práticas de governança.

Alternativa C — ❌ Incorreta

Esta alternativa erra ao afirmar que o responsável pela área de TI deve aprovar as políticas de segurança da informação, submetendo-as à alta administração apenas para "homologação final". A aprovação formal da política é uma prerrogativa da alta administração, que deve analisar e aprovar o documento em sua totalidade, não apenas homologá-lo. Além disso, a alternativa condiciona a aprovação a critérios subjetivos e arbitrários, como "não demandar investimentos superiores a 10% do orçamento anual de TI", o que não encontra respaldo nas boas práticas de governança.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta alternativa descreve corretamente o processo de elaboração, aprovação, implementação e monitoramento de uma política de segurança da informação. A elaboração deve ser feita por um grupo de trabalho multidisciplinar, incluindo TI, segurança, áreas finalísticas e jurídico, para garantir que a política atenda aos requisitos técnicos, de negócio e legais. A aprovação formal deve ser feita pela alta administração, que possui autoridade sobre políticas institucionais. A implementação deve ser feita pela área de TI, com o apoio das demais áreas. E o monitoramento deve ser feito por uma função independente, como auditoria ou compliance, para garantir a conformidade com a política.

Alternativa E — ❌ Incorreta

Esta alternativa erra ao sugerir que cada área finalística deve elaborar sua própria política de segurança, sem padronização institucional centralizada. Essa abordagem fragmentada é prejudicial, pois cria inconsistências nos controles de segurança e dificulta a gestão integrada da segurança da informação. A política de segurança da informação deve ser única e institucional, estabelecendo diretrizes comuns para toda a organização, ainda que possa haver políticas específicas por tema ou por área, desde que alinhadas à política geral.

Gabarito: letra D