Questão de Segurança da Informação — Norma ISO 27001 — FGV 2026

ISO/IEC 27001 – Conformidade em serviços de nuvem

Gabarito: letra E. Para estar em conformidade com a ABNT NBR ISO/IEC 27001:2013 e mitigar os riscos identificados (ausência de avaliação de riscos, falta de cláusulas contratuais de segurança e criptografia inadequada), o hospital deve formalizar contrato com o provedor contendo cláusulas de segurança, realizar avaliação de riscos e implementar criptografia nos dados em trânsito e em repouso. A norma, em seu item 5.23, determina que:

Além disso, a ISO 27001 exige, como parte do SGSI, a realização de avaliação e tratamento de riscos (Cláusulas 6.1.2 e 6.1.3) e a implementação de controles criptográficos (A.10.1) para proteger dados sensíveis, como prontuários médicos.

Alternativa A — ❌ Incorreta

Encerrar imediatamente o contrato e migrar para servidores locais é uma medida extrema que não é exigida pela norma. A ISO 27001 permite que as não conformidades sejam corrigidas por meio de ações corretivas, como a renegociação contratual e a implementação de controles, sem necessidade de ruptura imediata. Além disso, a migração abrupta pode introduzir novos riscos operacionais.

Alternativa B — ❌ Incorreta

Adotar uma política interna de confidencialidade e selecionar opções de tratamento de riscos aborda apenas parcialmente as deficiências. Embora o tratamento de riscos seja necessário, a alternativa ignora a necessidade de cláusulas contratuais específicas com o provedor de nuvem e a implementação de criptografia. A política de confidencialidade, por si só, não mitiga os riscos de transmissão e armazenamento sem criptografia.

Alternativa C — ❌ Incorreta

Solicitar um relatório de conformidade genérico e manter o contrato inalterado não atende aos requisitos da norma. A organização deve estabelecer controles próprios e acordos contratuais formais que garantam a segurança da informação, não podendo se basear apenas em declarações genéricas do provedor.

Alternativa D — ❌ Incorreta

Realizar backup local e manter a operação sem alterações contratuais, mesmo com redundância, não resolve a falta de criptografia e de cláusulas de segurança. A redundância não substitui os controles de proteção exigidos, como a criptografia de dados em trânsito e em repouso. Além disso, sem cláusulas contratuais, o hospital não tem garantias formais sobre a segurança dos dados na nuvem.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa aborda de forma completa todas as não conformidades identificadas: formalização de contrato com cláusulas de segurança (atendendo ao item 5.23 e ao controle A.15.2 – Relações com fornecedores), realização de avaliação de riscos (requisito obrigatório do SGSI) e implementação de criptografia nos dados em trânsito e em repouso (controles A.10.1). Portanto, é a única que garante a conformidade com a ISO 27001 e a mitigação efetiva dos riscos.

Gabarito: letra E.