Questão de Segurança da Informação — Norma ISO 27001 — FGV 2022
Segurança da Informação›Norma ISO 27001
Código
fg047153
Banca
FGV
Órgão
CGU
Ano
2022
Nível
Superior
Cargo
Auditor Federal de Finanças e Controle - Tecnologia da Informação
Um Sistema de Gestão de Segurança da Informação (SGSI) é um conjunto de controles que uma organização implementa para proteger os seus próprios ativos de informação e também para proteger outros ativos pelos quais é responsável.A norma ABNT NBR ISO/IEC 27001:2019 fornece os requisitos necessários para um SGSI. Rafael foi contratado para implementar o SGSI em um órgão público. Ele elencou os controles necessários para garantir a adequação à norma.Para isso, Rafael teve que elaborar:
Apolíticas de segurança da informação;
Bavaliação de desempenho;
Cpolítica de controle de acesso;
Ddefinição de funções e responsabilidades de segurança;
Edeclaração de aplicabilidade.
Revelar gabarito e comentário▾
GabaritoE — declaração de aplicabilidade.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
SGSI e a Declaração de Aplicabilidade na ISO 27001
Gabarito: letra E. A Declaração de Aplicabilidade (DoA, do inglês Statement of Applicability) é um documento obrigatório exigido pela norma ABNT NBR ISO/IEC 27001. Ele lista os controles selecionados (do Anexo A) e justifica a inclusão ou exclusão de cada um, demonstrando a adequação do SGSI aos requisitos da norma. É esse documento que Rafael precisou elaborar para garantir a conformidade no órgão público.
A questão testa o conhecimento sobre os documentos essenciais do SGSI. Embora políticas, avaliação de desempenho, política de controle de acesso e definição de funções sejam partes importantes do sistema, a Declaração de Aplicabilidade é o instrumento específico que formaliza a escolha dos controles e assegura a adequação aos requisitos normativos.
Alternativa A — ❌ Incorreta
Políticas de segurança da informação são fundamentais, mas não constituem o documento que comprova a adequação do SGSI. A política é um requisito geral, enquanto a declaração de aplicabilidade é o documento que vincula a política aos controles concretos.
Alternativa B — ❌ Incorreta
Avaliação de desempenho é uma etapa do ciclo PDCA (Plan-Do-Check-Act), mas não é um documento a ser elaborado como requisito para a adequação inicial. A avaliação de desempenho ocorre após a implementação.
Alternativa C — ❌ Incorreta
A política de controle de acesso é um controle específico (Anexo A, controle 9.1.1 na versão 2013 ou 5.15 na 2022), mas não é o documento geral de adequação. Ela é uma política operacional, não a declaração de aplicabilidade.
Alternativa D — ❌ Incorreta
Definir funções e responsabilidades de segurança é parte da implementação (seção 5.3 da ISO 27001), mas não é o documento central de adequação. Essa definição pode constar na política ou em outros documentos.
Alternativa E — ✅ Correta ⟵ GABARITO
A Declaração de Aplicabilidade (DoA) é o documento que relaciona os controles necessários, justifica as exclusões e demonstra que o SGSI atende aos requisitos da norma. Conforme destacado no processo de certificação (ISO/IEC 27001), a DoA é verificada já na auditoria de estágio 1, sendo essencial para garantir a conformidade.
PEGA ESSA DICA!
Ao estudar ISO 27001, lembre-se dos três documentos obrigatórios: Política de Segurança da Informação, Declaração de Aplicabilidade e Plano de Tratamento de Riscos. A banca adora cobrar a função específica de cada um.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)