Questão de Segurança da Informação — SGSI, Controles e Estrutura das Normas da Família 27000 (ISO/IEC 27001, 27002, etc.) — FGV 2024

NBR ISO/IEC 27004: descritores de informação para medição

Gabarito: letra E. O gráfico de tendência que relaciona a proporção de máquinas concluídas é o formato de comunicação da informação, conforme a NBR ISO/IEC 27004 — a norma da família 27000 dedicada a monitoramento, medição, análise e avaliação da gestão da segurança da informação. O descritor "formato de comunicação" define como a informação de medição é apresentada (gráfico, tabela, relatório), sendo exatamente o que o departamento de TI empregou ao divulgar os gráficos nos setores.

A NBR ISO/IEC 27004 é a norma que trata da medição e avaliação do Sistema de Gestão de Segurança da Informação (SGSI). Ela estabelece uma estrutura para definir o que medir, como medir, como analisar e como comunicar os resultados. Para isso, define descritores de informação — atributos que caracterizam cada informação de medição. Os principais descritores são: identificador de medida (nome único que identifica a medida), medida (o resultado da medição em si, o valor obtido), meta (o valor-alvo desejado), parte responsável (quem é responsável pela medição) e formato de comunicação (como a informação é apresentada — gráfico, tabela, relatório, etc.).

No caso da questão, o departamento de TI coloca gráficos de tendência nos setores. O gráfico é a forma de apresentação da informação — ou seja, o formato de comunicação. Não é a medida em si (que seria o valor numérico da proporção), nem o identificador (que seria o nome dado àquela medição), nem a meta (que seria o objetivo a atingir), nem a parte responsável (que seria quem executa a medição).

A pegadinha da banca está em confundir o formato de comunicação com a medida em si. A medida é o dado bruto (ex.: "35% das máquinas concluídas"); o formato de comunicação é o veículo que apresenta esse dado (o gráfico, a tabela, o relatório). O gráfico de tendência é, portanto, o formato de comunicação — a forma como a informação é comunicada aos colaboradores.

Guarde a distinção: medida = o valor; formato de comunicação = como o valor é apresentado. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O identificador de medida é o nome único que identifica a medida (ex.: "proporção de máquinas com criptografia instalada"). O gráfico não é o identificador — ele é a forma de apresentação do resultado. O identificador é o rótulo que nomeia a medição, não o gráfico em si.

Alternativa B — ❌ Incorreta

A medida é o resultado da medição, o valor obtido (ex.: "35% das máquinas concluídas"). O gráfico de tendência não é a medida — ele é a representação visual da medida. A medida é o dado numérico; o gráfico é o formato de comunicação que apresenta esse dado.

Alternativa C — ❌ Incorreta

A meta é o valor-alvo desejado (ex.: "100% das máquinas com criptografia"). O gráfico de tendência não é a meta — ele mostra o progresso em relação à meta, mas não é a meta em si. A meta é o objetivo a atingir; o gráfico é a forma de comunicar o andamento.

Alternativa D — ❌ Incorreta

A parte responsável é quem é responsável pela medição (ex.: o departamento de TI). O gráfico não é a parte responsável — ele é o instrumento de comunicação utilizado pela parte responsável. A parte responsável é o sujeito que executa a medição; o gráfico é o objeto que apresenta o resultado.

Alternativa E — ✅ Correta ⟵ GABARITO

O formato de comunicação é o descritor que define como a informação de medição é apresentada — gráfico, tabela, relatório, etc. O departamento de TI colocou gráficos de tendência nos setores, ou seja, utilizou o formato de comunicação para informar as atividades. O gráfico é exatamente o formato de comunicação da informação de medição.

Gabarito: letra E — o gráfico de tendência é o formato de comunicação da informação, conforme a NBR ISO/IEC 27004.