Questão de Segurança da Informação — Controles de segurança — FGV 2022
Segurança da Informação›Controles de segurança
Código
fg048833
Banca
FGV
Órgão
MPE-SC
Ano
2022
Nível
Superior
Cargo
Analista em Tecnologia da Informação
Para tratar os riscos da segurança da informação, uma organização deve definir e aplicar um processo contendo controles sobre seus ativos de informação. Nesse sentido, para assegurar que a informação receba um nível adequado de proteção, de acordo com a sua importância para a organização, deve-se implementar o(a):
Acontrole de acesso;
Bclassificação da informação;
Cresponsabilidade pelos ativos;
Dgerenciamento de acesso do usuário;
Econformidade com requisitos legais e contratuais.
Revelar gabarito e comentário▾
GabaritoB — classificação da informação;
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Gestão de ativos e classificação da informação
Gabarito: letra B (classificação da informação). Para assegurar que a informação receba proteção adequada conforme sua importância, o controle fundamental é a classificação da informação. Esse processo categoriza os ativos de informação com base em critérios de sensibilidade e criticidade, definindo os níveis de proteção necessários (confidencialidade, integridade, disponibilidade) e orientando a aplicação dos demais controles.
A questão aborda o ciclo de gestão de riscos de segurança da informação, no qual, após identificar e avaliar os riscos, a organização seleciona controles para tratá-los. A classificação da informação é o controle que permite que cada ativo receba o tratamento proporcional ao seu valor e impacto, conforme preconizado pelas normas ISO/IEC 27001 e 27002.
Alternativa A — ❌ Incorreta
O controle de acesso é um mecanismo que implementa restrições com base na classificação e nas políticas definidas, mas não é o processo que determina o nível de proteção adequado. A classificação vem antes; o acesso é uma consequência.
Alternativa B — ✅ Correta ⟵ GABARITO
A classificação da informação é exatamente o processo de categorizar ativos para que recebam proteção proporcional à sua importância. A norma ISO 27002 (controles organizacionais) e a política de segurança da informação exigem que a organização classifique suas informações. Somente após a classificação é possível definir controles específicos (acesso, criptografia, etc.).
Alternativa C — ❌ Incorreta
Embora a responsabilidade pelos ativos seja importante (definir proprietários e custodiantes), ela não garante por si só que a informação receba proteção adequada conforme sua importância. A responsabilidade é atribuída, mas o nível de proteção é definido pela classificação.
Alternativa D — ❌ Incorreta
O gerenciamento de acesso do usuário é uma atividade operacional que depende da classificação e das regras de acesso. Não é o processo que assegura proteção proporcional à importância, mas sim sua implementação.
Alternativa E — ❌ Incorreta
A conformidade com requisitos legais e contratuais é uma obrigação transversal, mas não determina o nível de proteção baseado na importância da informação para a organização. Requisitos legais podem impor níveis mínimos, mas a classificação interna é que adequa a proteção ao valor do ativo.
PEGA ESSA DICA!
Em questões de segurança da informação, lembre-se que a classificação é a base para todos os outros controles. Sem classificação, não é possível saber qual proteção aplicar. O termo “de acordo com a sua importância” é a chave para identificar a resposta correta.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)