Questão de Segurança da Informação — Norma ISO 27001 — FUNDATEC 2025

Associação de normas ISO 27001, 27002 e 27005

Gabarito: alternativa A (1 – 3 – 2 – 2 – 1). A questão cobra a correta associação entre três normas da família ISO 27000 e suas respectivas descrições. A chave está em distinguir: ISO 27001 é a norma de requisitos para SGSI (gestão da segurança da informação), ISO 27002 é o guia de boas práticas e controles, e ISO 27005 é a norma de gestão de riscos de segurança da informação. A sequência que atende a todas as definições é 1 (ISO 27001), 3 (ISO 27005), 2 (ISO 27002), 2 (ISO 27002) e 1 (ISO 27001).

Análise das definições

Primeira definição: "Essa norma oferece às empresas orientações para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação."

• Corresponde exatamente ao escopo da ISO/IEC 27001. O próprio texto da norma, em seu item 4.4, afirma que a organização deve "estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação". Portanto, 1° parêntese = 1.

Segunda definição: "Essa norma fornece orientações sobre a gestão de riscos de segurança da informação, com o objetivo de apoiar a implementação de um Sistema de Gestão de Segurança da Informação (SGSI) tendo como base outra norma."

• A norma dedicada à gestão de riscos é a ISO/IEC 27005. Conforme a bibliografia da ISO 27001, a ISO 27005 é citada como "Guidance on managing information security risks". Ela orienta justamente o processo de gestão de riscos para apoiar o SGSI. 2° parêntese = 3.

Terceira definição: "É uma norma internacional que fornece orientações para organizações que desejam estabelecer, implementar e aprimorar um SGSI com foco em cibersegurança."

• Aqui se refere à ISO/IEC 27002, que é um código de prática com diretrizes para controles de segurança da informação, incluindo cibersegurança. Diferentemente da 27001, ela não estabelece requisitos, mas sim orientações. 3° parêntese = 2.

Quarta definição: "Ao seguir as diretrizes desta norma, as empresas podem adotar uma abordagem proativa na gestão de riscos de segurança cibernética e proteger informações críticas contra acessos não autorizados e perdas."

• Embora mencione "gestão de riscos", a expressão "diretrizes" e a ênfase em proteger informações contra acessos não autorizados apontam para a ISO 27002, que reúne um conjunto abrangente de controles de segurança (controles de acesso, criptografia, etc.) que, quando implementados, gerenciam riscos de forma proativa. Note que a ISO 27005 é focada exclusivamente no processo de gestão de riscos, enquanto a 27002 fornece os controles práticos. A banca associou esta definição à 27002. 4° parêntese = 2.

Quinta definição: "É a norma mais conhecida no mundo para sistemas de gestão de segurança da informação, determinando os requisitos que os SGSI devem atender."

• Trata-se claramente da ISO/IEC 27001, a única norma certificável da família, que estabelece requisitos obrigatórios para um SGSI. 5° parêntese = 1.

Portanto, a sequência completa é: 1, 3, 2, 2, 1.

Tabela resumo

Gabarito: alternativa A