Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — FCC 2026

Política de Segurança da Informação e Continuidade de Serviços

Gabarito: letra C. A Política de Segurança da Informação (PSI) é um documento normativo e obrigatório que deve abranger controles de acesso, responsabilidades dos usuários, procedimentos de backup periódico e planos de contingência e recuperação, assegurando a continuidade dos serviços — exatamente o que a alternativa C afirma. As demais alternativas distorcem a natureza da PSI, a frequência do backup, o escopo do plano de recuperação e a obrigatoriedade dos testes de restauração.

A Política de Segurança da Informação é o documento-mestre que estabelece as diretrizes, responsabilidades e regras para proteger os ativos de informação de uma organização. Ela não é um mero guia consultivo: é um instrumento normativo interno, de cumprimento obrigatório, que orienta todos os colaboradores e define as consequências para o descumprimento. No contexto do Poder Judiciário, a PSI é essencial para garantir o acesso à justiça, pois os serviços eletrônicos dependem da disponibilidade, integridade e confidencialidade das informações processuais.

A norma ABNT NBR ISO/IEC 27001, que estabelece os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), reforça esse caráter obrigatório e abrangente. No item 5.2, a norma determina que a Alta Direção deve estabelecer uma política de segurança da informação que seja apropriada ao propósito da organização, inclua os objetivos de segurança e o comprometimento com a melhoria contínua. A política deve estar disponível como informação documentada e ser comunicada dentro da organização. Isso demonstra que a PSI é um documento formal, com força normativa interna, e não uma mera recomendação.

A continuidade dos serviços é garantida por um conjunto de planos e práticas interligados. O Plano de Continuidade de Negócios (PCN) é o guarda-chuva que engloba o Plano de Continuidade Operacional (PCO) e o Plano de Recuperação de Desastres (PRD). O PCO visa manter as operações críticas funcionando, ainda que em modo reduzido, durante um incidente. O PRD, por sua vez, é o roteiro para restaurar plenamente a infraestrutura tecnológica após um desastre. O backup é uma das ferramentas centrais desses planos, pois garante que os dados possam ser recuperados. A política de backup deve definir a frequência (diária, semanal, etc.), os tipos (completo, incremental, diferencial) e os procedimentos de teste de restauração.

A banca explora a confusão entre os conceitos de PSI, backup, PRD e PCO. A alternativa C é a única que sintetiza corretamente o papel da PSI, abrangendo os controles de acesso, as responsabilidades e os procedimentos de continuidade. As demais alternativas apresentam erros conceituais graves: a A nega a força normativa da PSI, a B subestima a frequência do backup, a D restringe o escopo do PRD e a E trata os testes de restauração como opcionais. Guarde a fronteira entre o que é obrigatório e o que é opcional, e entre o escopo de cada plano: é exatamente nesses pontos que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A alternativa afirma que a Política de Segurança da Informação é um documento meramente consultivo, sem força normativa. Isso é falso. A PSI é um documento normativo interno, de cumprimento obrigatório, que estabelece diretrizes e responsabilidades. A norma ABNT NBR ISO/IEC 27001, item 5.2, determina que a política deve ser estabelecida pela Alta Direção, estar disponível como informação documentada e ser comunicada dentro da organização. O caráter é de obrigatoriedade, não de consulta. A banca tenta confundir o candidato ao negar a natureza vinculante da PSI.

Alternativa B — ❌ Incorreta

A alternativa afirma que um backup completo realizado uma única vez ao ano é suficiente para garantir a disponibilidade e a integridade. Isso é um erro grave. Um backup anual deixaria uma janela de perda de dados de até um ano, o que é inaceitável para sistemas judiciais críticos. A prática recomendada é realizar backups periódicos (diários, semanais) e testar a restauração regularmente. A frequência do backup deve ser definida na política de backup, considerando o RPO (Recovery Point Objective) e o RTO (Recovery Time Objective) da organização. A alternativa subestima a necessidade de backups frequentes para garantir a disponibilidade.

Alternativa C — ✅ Correta ⟵ GABARITO

A alternativa C está correta ao afirmar que a Política de Segurança da Informação deve prever controles de acesso, responsabilidades dos usuários, procedimentos de backup periódico e planos de contingência e recuperação, assegurando a continuidade dos serviços judiciais. Isso está alinhado com a norma ABNT NBR ISO/IEC 27001, que exige que a política de segurança da informação inclua os objetivos de segurança e o comprometimento com a melhoria contínua. A PSI é o documento que define as regras para proteger os ativos de informação, e a continuidade dos serviços é um dos seus objetivos centrais. A alternativa espelha corretamente o papel abrangente da PSI.

Alternativa D — ❌ Incorreta

A alternativa afirma que o plano de recuperação de desastres (PRD) se restringe exclusivamente a desastres naturais, como enchentes e incêndios. Isso é falso. O PRD abrange qualquer evento que possa impactar negativamente a infraestrutura tecnológica, incluindo falhas humanas, ataques cibernéticos, falhas de hardware, entre outros. O PRD é um roteiro para restaurar a operação após qualquer tipo de desastre, não apenas os naturais. A alternativa tenta restringir indevidamente o escopo do PRD, confundindo o candidato.

Alternativa E — ❌ Incorreta

A alternativa afirma que a execução de testes de restauração de backup é opcional, pois o registro do procedimento já garante a disponibilidade dos dados. Isso é um erro grave. O teste de restauração é essencial para verificar se o backup é válido e se os dados podem ser recuperados corretamente. Um backup que nunca é testado pode estar corrompido ou incompleto, e a falha só seria descoberta no momento da necessidade. A norma ABNT NBR ISO/IEC 27001 e as boas práticas de segurança da informação exigem testes periódicos de restauração para garantir a eficácia do plano de recuperação. A alternativa trata como opcional algo que é obrigatório.

Gabarito: letra C