Questão de Segurança da Informação — SGSI, Controles e Estrutura das Normas da Família 27000 (ISO/IEC 27001, 27002, etc.) — VUNESP 2024

Liderança e comprometimento da Alta Direção na ISO/IEC 27001

Gabarito: letra E. A seção 5.1 da ABNT NBR ISO/IEC 27001:2022 exige que a Alta Direção demonstre liderança e comprometimento com o SGSI assegurando que a política de segurança da informação e os objetivos de segurança da informação estejam estabelecidos e sejam compatíveis com a direção estratégica da organização — exatamente o que a alternativa E afirma. As demais alternativas descrevem ações que não constam do rol da norma, sendo distratores criados pela banca.

A ISO/IEC 27001 é a norma de requisitos para o Sistema de Gestão de Segurança da Informação (SGSI). Ela segue a estrutura de alto nível (HLS) comum às normas de sistemas de gestão da ISO, e a seção 5 trata especificamente de Liderança. Nessa seção, a norma impõe à Alta Direção um conjunto de responsabilidades — não apenas "apoiar" o SGSI, mas demonstrar liderança e comprometimento de forma concreta. O item 5.1 é o coração dessa exigência: ele lista os meios pelos quais a Alta Direção deve evidenciar esse compromisso.

A norma não exige publicidade externa, auditorias com demissões, equipes internacionais ou bônus financeiros. Esses elementos são invenções da banca para testar se o candidato conhece o texto real do requisito. O que a norma efetivamente cobra é o alinhamento da política e dos objetivos de segurança da informação com a estratégia da organização — um princípio de governança que garante que a segurança não seja tratada como um fim em si, mas como suporte aos objetivos do negócio.

Na prática, isso significa que a Alta Direção deve:

• estabelecer a política de segurança da informação (PSI) apropriada ao propósito da organização;

• assegurar que os objetivos de segurança da informação sejam definidos e compatíveis com a direção estratégica;

• garantir que os papéis e responsabilidades relevantes sejam atribuídos e comunicados;

• assegurar que o SGSI atenda aos requisitos da norma e que o desempenho seja reportado à Alta Direção.

A pegadinha da questão está em apresentar ações plausíveis, porém não previstas na norma, como se fossem requisitos. O candidato que decora apenas o título da seção pode se confundir. A alternativa E é a única que reproduz fielmente um dos meios citados no item 5.1.

Alternativa A — ❌ Incorreta

A norma não exige publicidade externa do SGSI. Pelo contrário, a segurança da informação frequentemente demanda confidencialidade sobre detalhes do sistema. A banca inventa uma ação de "transparência" que não existe no item 5.1.

Alternativa B — ❌ Incorreta

A auditoria interna é tratada na seção 9.2 da norma, mas a ideia de "demitir colaboradores que trouxeram riscos" não é um requisito de liderança. A Alta Direção deve assegurar a conformidade e o desempenho do SGSI, não punir pessoas. A alternativa mistura conceitos de gestão de pessoas com os requisitos da norma.

Alternativa C — ❌ Incorreta

Não há qualquer exigência de equipe internacional ou de membros de três países na ISO/IEC 27001. A norma é aplicável a qualquer organização, independentemente de tamanho ou localização. A banca cria um requisito absurdo para testar o conhecimento literal.

Alternativa D — ❌ Incorreta

A norma não menciona bônus financeiro ou participação nos lucros como forma de demonstrar liderança. A motivação da equipe é uma prática de gestão, mas não é um requisito do item 5.1. A alternativa confunde incentivos organizacionais com os meios de comprometimento da Alta Direção.

Alternativa E — ✅ Correta ⟵ GABARITO

A alternativa reproduz fielmente um dos meios do item 5.1: assegurar que a política de segurança da informação e os objetivos de segurança da informação estejam estabelecidos e sejam compatíveis com a direção estratégica da organização. Esse é um requisito central de governança: a segurança deve estar alinhada ao negócio.

Gabarito: letra E