Gerenciamento de mídias na ISO/IEC 27002:2013
Gabarito: letra D. A ISO/IEC 27002:2013 determina que a remoção de qualquer mídia da organização deve ser registrada para manter uma trilha de auditoria, assegurando a rastreabilidade e a prestação de contas. As demais alternativas contrariam princípios básicos do tratamento seguro de mídias, como descarte seguro, redundância de cópias e armazenamento conforme especificações do fabricante.
A norma estabelece controles específicos para o gerenciamento de mídias removíveis, incluindo a necessidade de proteger a informação contra acesso não autorizado durante o transporte e de descartar mídias de forma segura quando não forem mais necessárias. A manutenção de registros de remoção (trilha de auditoria) é um requisito implícito no controle de registro de eventos, que exige que logs de atividades sejam produzidos e mantidos.
Alternativa | Afirmação | Conformidade com ISO/IEC 27002:2013 | Justificativa |
|---|
A | Conteúdo de mídia magnética reutilizável deve ser preservado ao ser retirado da organização. | ❌ Incorreta | A norma recomenda descarte seguro ou limpeza, não preservação de dados desnecessários. |
B | Cópias múltiplas de dados valiosos devem ser armazenadas na mesma mídia física. | ❌ Incorreta | A redundância deve ser em mídias separadas para evitar perda total por falha única. |
C | Mídia deve ser guardada de forma segura mesmo sem seguir especificações do fabricante. | ❌ Incorreta | A norma exige armazenamento conforme especificações do fabricante para garantir integridade. |
D | Remoção de qualquer mídia deve ser registrada como trilha de auditoria. | ✅ Correta | Alinhado aos requisitos de registro de eventos e rastreabilidade da norma. |
E | Não convém migrar dados de mídias antigas para novas, mesmo com degradação física. | ❌ Incorreta | A migração é recomendada para evitar perda de dados por degradação do meio físico. |
Alternativa A — ❌ Incorreta
Afirma que o conteúdo de mídia magnética reutilizável deve ser preservado ao ser retirado da organização quando não for mais necessário. Na prática, a norma recomenda o descarte seguro ou a limpeza dos dados, e não a preservação. Manter dados desnecessários aumenta o risco de exposição.
Alternativa B — ❌ Incorreta
Sugere que múltiplas cópias de dados valiosos sejam armazenadas na mesma mídia física para reduzir riscos. Isso é o oposto da recomendação: a redundância deve ser feita em mídias separadas para evitar a perda total em caso de falha ou dano da única mídia.
Alternativa C — ❌ Incorreta
Alega que a mídia deve ser guardada de forma segura mesmo que não siga as especificações do fabricante, sob o argumento de que elas são exageradas. A norma exige que o armazenamento siga as especificações do fabricante para garantir a integridade e a longevidade dos dados; desconsiderá-las pode levar à degradação e perda de informação.
Alternativa D — ✅ Correta ⟵ GABARITO
Determina que, quando houver remoção de qualquer mídia da organização, deve ser mantido um registro da remoção como trilha de auditoria. Esse controle está alinhado com os requisitos de registro de eventos (logging) e gerenciamento de mídias da ISO/IEC 27002:2013, garantindo a rastreabilidade e a prestação de contas sobre o destino dos ativos de informação.
Alternativa E — ❌ Incorreta
Afirma que não convém migrar dados de mídias antigas para novas, mesmo com degradação física, pois isso tornaria os dados ilegíveis. A prática recomendada é exatamente o oposto: a migração periódica é essencial para evitar a perda de dados devido à degradação ou obsolescência da mídia.
Gabarito: letra D.