Questão de Segurança da Informação — Gestão de Ativos e Classificação da Informação — VUNESP 2023

Gestão de Ativos de TI

Gabarito: letra E. A gestão de ativos de TI é o conjunto de processos que gerencia o ciclo de vida e o inventário dos elementos de software e hardware de uma empresa, garantindo que cada ativo seja identificado, rastreado, mantido e descartado adequadamente. Essa definição está alinhada com as boas práticas de gerenciamento de serviços de TI, como a ITIL, e com normas de segurança da informação, como a ISO/IEC 27001, que tratam da responsabilidade e do inventário de ativos.

A gestão de ativos de TI é um pilar fundamental para a governança e a segurança da informação. Ela vai muito além de simplesmente listar equipamentos: envolve conhecer o valor de cada ativo, sua localização, seu proprietário, sua criticidade para o negócio e todo o seu ciclo de vida — desde a aquisição, passando pela utilização e manutenção, até o descarte seguro. Sem essa gestão, a organização fica vulnerável a riscos como a perda de licenças de software, o uso não autorizado de equipamentos, o vazamento de dados em dispositivos descartados incorretamente e a impossibilidade de rastrear responsabilidades.

A norma ABNT NBR ISO/IEC 27001, em sua seção sobre Gestão de Ativos, estabelece controles que reforçam essa visão. O controle de inventário de ativos determina que os ativos associados à informação e aos recursos de processamento devem ser identificados e que um inventário deve ser estruturado e mantido. Já o controle de proprietário de ativos exige que cada ativo do inventário tenha um responsável designado. Esses controles mostram que a gestão de ativos é uma prática estruturada e essencial para a segurança.

Na prática, a gestão de ativos de TI envolve atividades como:

• Inventário completo: catalogar todos os hardwares (servidores, computadores, notebooks, celulares, roteadores) e softwares (sistemas operacionais, aplicativos, licenças) da organização.

• Ciclo de vida: acompanhar cada ativo desde a aquisição até o descarte, incluindo manutenções, atualizações e realocações.

• Controle de licenças: garantir que o uso de software esteja em conformidade com os termos das licenças adquiridas, evitando cópias ilegais e multas.

• Segurança física e lógica: proteger os ativos contra roubo, danos e acesso não autorizado, incluindo o descarte seguro de mídias e equipamentos.

• Rastreabilidade: saber onde cada ativo está, quem o utiliza e qual a sua importância para os processos de negócio.

A banca explora a confusão entre a gestão de ativos e outros processos de negócio, como a gestão financeira, a gestão de recursos humanos e a gestão de fornecedores. O candidato que não tem clareza sobre o escopo específico da gestão de ativos pode se perder em alternativas que descrevem outras áreas. O critério decisivo é: a gestão de ativos de TI trata exclusivamente dos elementos de software e hardware da empresa, gerenciando seu ciclo de vida e inventário.

Alternativa A — ❌ Incorreta

A emissão de notas fiscais é uma atividade do setor financeiro ou fiscal da empresa, relacionada à prestação de serviços e à cobrança. Não faz parte do escopo da gestão de ativos de TI, que se concentra nos recursos tecnológicos (hardware e software), e não na documentação fiscal.

Alternativa B — ❌ Incorreta

A folha de pagamento dos funcionários de TI é uma atribuição do departamento de recursos humanos (RH), envolvendo salários, benefícios e encargos trabalhistas. A gestão de ativos de TI não trata de pessoas, mas sim dos recursos tecnológicos da organização.

Alternativa C — ❌ Incorreta

As chamadas telefônicas ativas no serviço de telefonia IP são um aspecto operacional do uso da infraestrutura de comunicação. Embora a telefonia IP possa ser considerada um ativo de TI, a gestão de ativos não se limita a monitorar chamadas; ela abrange o ciclo de vida completo de todos os ativos de software e hardware, incluindo inventário, manutenção e descarte.

Alternativa D — ❌ Incorreta

O relacionamento com fornecedores de TI é uma prática de gestão de fornecedores, que envolve contratos, acordos de nível de serviço (SLAs) e avaliação de desempenho. Embora a gestão de ativos possa interagir com fornecedores (por exemplo, na aquisição de novos equipamentos), o foco da gestão de ativos é o gerenciamento dos próprios ativos, e não o relacionamento com terceiros.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa define corretamente a gestão de ativos de TI como o gerenciamento do ciclo de vida e do inventário dos elementos de software e hardware de uma empresa. O ciclo de vida abrange todas as fases, da aquisição ao descarte, e o inventário garante o registro e o controle de todos os ativos. Essa é a definição consagrada nas boas práticas de gerenciamento de serviços de TI, como a ITIL, e nos controles de segurança da informação da ISO/IEC 27001.

Gabarito: letra E