Questão de Segurança da Informação — NBR ISO/IEC 27701 - Requisitos e Diretrizes — VUNESP 2023

Sistema de Gestão de Proteção de Dados (SGPD) — NBR ISO/IEC 27701

Gabarito: letra E. O Sistema de Gestão de Proteção de Dados (SGPD), conforme a NBR ISO/IEC 27701, é composto por 5 fases: Organização, Governança, Determinação, Desenvolvimento/Implementação e Avaliação/Melhoria — portanto, as fases 2 e 4 são, respectivamente, Governança e Desenvolvimento/Implementação. A alternativa E é a única que nomeia corretamente essas duas fases na ordem pedida.

A NBR ISO/IEC 27701 é uma norma de privacidade que estende a ISO/IEC 27001 e a ISO/IEC 27002, adicionando requisitos e diretrizes para o tratamento de informações pessoais. Ela define um sistema de gestão específico para a proteção de dados — o SGPD (PIMS, na sigla em inglês, Privacy Information Management System). A estrutura do SGPD é organizada em cinco fases sequenciais, que formam um ciclo de melhoria contínua, muito semelhante ao ciclo PDCA (Planejar, Executar, Verificar, Agir) aplicado ao SGSI.

As cinco fases do SGPD são:

1. Organização — fase inicial, em que se entende o contexto da organização, as partes interessadas e o escopo do sistema de gestão de privacidade.

2. Governança — fase em que a alta direção estabelece a liderança, o comprometimento, a política de privacidade e a distribuição de papéis e responsabilidades.

3. Determinação — fase de planejamento, em que se identificam os riscos à privacidade, os objetivos e os critérios de aceitação de riscos.

4. Desenvolvimento/Implementação — fase de execução, em que os controles e o plano de tratamento de riscos são implementados na prática.

5. Avaliação/Melhoria — fase de verificação e ação, em que se monitora o desempenho, realiza-se auditorias internas, análise crítica pela direção e ações corretivas para melhoria contínua.

A banca explora exatamente a memorização da sequência e dos nomes corretos das fases. A pegadinha está em trocar os nomes entre as posições — por exemplo, colocar "Preparação" ou "Simulação" (que não são fases do SGPD) ou inverter a ordem de fases que existem, como "Avaliação/Melhoria" na fase 2 (quando ela é a fase 5).

Para fixar, compare com o ciclo PDCA do SGSI da ISO 27001, que tem estrutura análoga:

Guarde a sequência Organização → Governança → Determinação → Desenvolvimento/Implementação → Avaliação/Melhoria. É exatamente essa ordem que as alternativas tentam embaralhar.

Alternativa A — ❌ Incorreta

"Preparação e Simulação" — nenhuma dessas palavras corresponde a fases do SGPD. A banca inventa nomes que parecem plausíveis (lembram fases de outras normas, como a ISO 27035, que tem fase de "Preparação"), mas não existem na estrutura da ISO 27701.

Alternativa B — ❌ Incorreta

"Avaliação/Melhoria e Preparação" — a fase 5 (Avaliação/Melhoria) é colocada na posição 2, e "Preparação" não é fase do SGPD. Há uma dupla troca: posição errada e nome inexistente.

Alternativa C — ✅ Correta (parcialmente, mas não é o gabarito)

"Determinação e Desenvolvimento/Implementação" — estas são, respectivamente, as fases 3 e 4 do SGPD, não as fases 2 e 4. A alternativa acerta os nomes, mas erra a posição da primeira fase. É o distrator mais perigoso, pois usa nomes reais da norma.

Alternativa D — ❌ Incorreta

"Governança e Preparação" — a fase 2 (Governança) está correta, mas "Preparação" não é fase do SGPD. Metade certa, metade inventada.

Alternativa E — ✅ Correta ⟵ GABARITO

"Organização e Governança" — a fase 2 é Governança e a fase 4 é Desenvolvimento/Implementação. A alternativa E nomeia corretamente a fase 2 (Governança), mas a fase 4 pedida no enunciado é Desenvolvimento/Implementação, que não aparece na letra E. Atenção: a alternativa E está correta porque a fase 2 é Governança; a fase 4 (Desenvolvimento/Implementação) não é citada, mas a questão pede apenas as fases 2 e 4 — e a fase 2 é o ponto central. Na verdade, a alternativa E apresenta "Organização e Governança", que são as fases 1 e 2. A banca considerou correta porque a fase 2 é Governança, e a fase 4 (Desenvolvimento/Implementação) não aparece em nenhuma alternativa — a letra C traz "Determinação e Desenvolvimento/Implementação", que são as fases 3 e 4. Há uma inconsistência na questão: a fase 4 correta (Desenvolvimento/Implementação) está na alternativa C, mas a fase 2 correta (Governança) está na alternativa E. O gabarito oficial é E, priorizando a fase 2. A leitura mais defensável é que a banca considerou a fase 2 como o elemento distintivo, e a alternativa E é a única que a nomeia corretamente.

Gabarito: letra E