Questão de Segurança da Informação — Política de Segurança da Informação (NBR ISO/IEC 27001, 27002, etc.) — FGV 2024

Política de Segurança da Informação na ISO/IEC 27002:2013

Gabarito: letra E. A norma ABNT NBR ISO/IEC 27002:2013, no controle 5.1.1 (Políticas para segurança da informação), orienta que a política de segurança da informação contemple requisitos oriundos da estratégia de negócio, regulamentações, legislação e contratos, e do ambiente de ameaça da segurança da informação, atual e futuro — exatamente o que a alternativa E descreve. As demais alternativas listam controles ou elementos que, embora façam parte da norma, não correspondem aos requisitos de origem que a política deve considerar.

A ISO/IEC 27002 é a norma de "código de prática" da família 27000: enquanto a ISO/IEC 27001 especifica os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI) e é a norma certificável, a 27002 fornece diretrizes e boas práticas para a implementação dos controles de segurança. Na versão de 2013, a estrutura da norma é organizada em 14 seções de controle, e a seção 5 trata especificamente das Políticas de Segurança da Informação, com o objetivo de prover orientação e apoio da direção para a segurança da informação, de acordo com os requisitos do negócio e com as leis e regulamentações relevantes.

O controle 5.1.1 é o coração da questão. Ele estabelece que um conjunto de políticas de segurança da informação deve ser definido, aprovado pela direção, publicado e comunicado. E, no que interessa para a prova, as diretrizes para implementação desse controle indicam que a política deve conter declarações relativas a requisitos oriundos de fontes específicas. A banca cobra exatamente a literalidade dessas diretrizes: a política deve considerar a estratégia de negócio da organização, as regulamentações, a legislação e os contratos aplicáveis, e o ambiente de ameaças à segurança da informação, tanto atual quanto futuro. É uma questão de letra de norma, mas com um componente de compreensão: a política de segurança não é um documento isolado — ela deve estar alinhada ao negócio e ao cenário de riscos em que a organização opera.

Para fixar, pense na política de segurança como a "constituição" da segurança da informação na organização. Ela não detalha cada controle técnico (isso é papel das políticas específicas e dos procedimentos), mas estabelece os princípios, objetivos e responsabilidades. E, para ser eficaz, ela precisa nascer de três fontes: o que a organização quer ser (estratégia de negócio), o que ela é obrigada a cumprir (leis, regulamentações, contratos) e as ameaças que ela enfrenta (atuais e futuras). As alternativas A, B, C e D misturam esses requisitos com controles específicos da norma, como controle de acesso, segurança física, proteção contra malware e transferência de informação — que são assuntos de outras seções da 27002, não requisitos de origem da política.

A pegadinha da banca está em confundir o conteúdo da política (que deve ser abrangente e incluir diversos temas) com os requisitos de origem que a norma lista como fontes para a elaboração da política. As alternativas A, B, C e D descrevem temas que podem aparecer dentro de uma política ou que são controles da norma, mas não são as fontes de requisitos que a 27002:2013 menciona explicitamente. Guarde essa distinção: a questão pergunta "requisitos oriundos de", ou seja, de onde vêm os requisitos, não o que a política deve conter.

Alternativa A — ❌ Incorreta

Menciona "normas da família 27000" e "atribuição de responsabilidades". Embora a família 27000 seja a base normativa e a atribuição de responsabilidades seja um elemento importante da política, a norma 27002:2013 não lista esses itens como requisitos de origem para a política de segurança. A alternativa mistura o contexto geral da norma com o conteúdo específico das diretrizes do controle 5.1.1.

Alternativa B — ❌ Incorreta

Cita "definições de segurança da informação, objetivos e princípios". Esses elementos são, de fato, partes típicas do conteúdo de uma política de segurança, mas não são os requisitos de origem que a norma orienta contemplar. A banca troca o conteúdo da política pelos requisitos de origem — a pegadinha clássica desta questão.

Alternativa C — ❌ Incorreta

Lista "definição do controle de acesso, segurança física e do ambiente e proteção contra malware". Esses são controles específicos da norma 27002 (seções 9, 11 e 12, respectivamente), não requisitos de origem para a política. A alternativa confunde os controles que a política pode referenciar com as fontes de requisitos que a norma determina.

Alternativa D — ❌ Incorreta

Cita "transferência de informação, segurança nas comunicações, proteção e privacidade da informação de identificação pessoal". Novamente, são temas de controles específicos da norma (seções 13 e 18), não os requisitos de origem da política. A alternativa descreve áreas de controle, não as fontes de requisitos.

Alternativa E — ✅ Correta ⟵ GABARITO

Reproduz fielmente as diretrizes do controle 5.1.1 da ISO/IEC 27002:2013: a política de segurança deve contemplar requisitos oriundos da estratégia de negócio, das regulamentações, legislação e contratos, e do ambiente de ameaça da segurança da informação, atual e futuro. É a literalidade da norma, e é o que a banca pede.

Gabarito: letra E