Questão de Segurança da Informação — Norma ISO 27001 — FEPESE 2026
Segurança da Informação›Norma ISO 27001
Código
qg678601
Banca
FEPESE
Órgão
Prefeitura de Florianópolis - SC
Ano
2026
Nível
Superior
Cargo
Analista de Sistemas
No âmbito da Segurança da Informação (SI) e sua relação com sistemas de informação, assinale a alternativa que indica corretamente o conjunto de melhores práticas ou a norma cujo propósito central é definir as diretrizes e requisitos para estabelecer, implementar, manter e melhorar um Sistema de Informação de Gestão da Segurança da Informação (SGSI).
AITIL
BCOBIT
CNIST CSF
DISO 27001
EISO 27002
Revelar gabarito e comentário▾
GabaritoD — ISO 27001
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Normas de Segurança da Informação – ISO 27001
Gabarito: letra D. A ISO/IEC 27001 é a norma que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão da Segurança da Informação (SGSI). A própria norma declara esse propósito em seu escopo (item 1) e no requisito do sistema de gestão (item 4.4). As demais alternativas tratam de governança, gerenciamento de serviços ou controles, mas não definem diretrizes para um SGSI.
A banca testa a capacidade de distinguir a norma certificável (27001) da norma de código de práticas (27002), além de diferenciar frameworks como ITIL, COBIT e NIST CSF.
ABNT-NBR-ISO/IEC-27001-1
"Este documento especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação dentro do contexto da organização."
ABNT-NBR-ISO/IEC-27001-4.4
"A organização deve estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação, incluindo os processos necessários e suas interações, de acordo com os requisitos deste documento."
Alternativa A — ❌ Incorreta
ITIL (Information Technology Infrastructure Library) é um conjunto de melhores práticas para gerenciamento de serviços de TI, com foco em processos como incidente, problema, mudança, etc. Não tem o propósito de definir requisitos para um SGSI.
Alternativa B — ❌ Incorreta
COBIT (Control Objectives for Information and Related Technologies) é um framework de governança e gestão de TI, voltado a controle e auditoria. Embora inclua segurança, seu escopo é mais amplo que o de um SGSI e não se dedica exclusivamente a estabelecer, implementar e melhorar um sistema de gestão da segurança da informação.
Alternativa C — ❌ Incorreta
NIST CSF (Cybersecurity Framework) é um guia desenvolvido pelo NIST (EUA) para melhoria da segurança cibernética em organizações, com foco em funções como identificar, proteger, detectar, responder e recuperar. Não é uma norma de sistema de gestão formal como a ISO 27001.
Alternativa D — ✅ Correta ⟵ GABARITO
ISO 27001 é a norma internacional que define os requisitos para um SGSI. Conforme seu escopo, ela especifica exatamente o que o enunciado descreve: estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação. É a única norma da família 27000 passível de certificação acreditada.
Alternativa E — ❌ Incorreta
ISO 27002 é um código de prática que fornece diretrizes e controles de segurança da informação (ex.: políticas, controle de acesso, criptografia). Ela não estabelece requisitos para um SGSI; é uma norma de apoio usada como catálogo de controles para implementar os requisitos da ISO 27001.
NÃO CAIA NESSA!
A banca explora a confusão entre ISO 27001 e ISO 27002. Ambas tratam de segurança da informação, mas a 27001 é a norma de requisitos do SGSI (certificável), enquanto a 27002 é um guia de controles (não certificável). O enunciado fala em "diretrizes e requisitos para estabelecer, implementar, manter e melhorar um SGSI" — isso é exatamente a ISO 27001.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)