Questão 37 · Informática: Segurança da informação
Acerca da gestão de segurança da informação, assinale a opção correta.
- A) Pelo princípio da segregação de funções, conforme a norma ABNT NBR ISO/IEC 27001, a organização não deve manter programas de auditoria; contudo, convém estabelecer acordos de transferência de dados com os órgãos de controle externo, sempre que necessário.
- B) Conforme a norma ABNT NBR ISO/IEC 27001, a organização deve estabelecer e aplicar um processo em que haja critérios para realizar as avaliações de riscos de segurança da informação, prescindindo-se, nesse processo, de critérios de aceitação de riscos.
- C) Segundo a norma ABNT NBR ISO/IEC 27002, convém que os riscos de segurança da informação sejam abordados como parte do gerenciamento do projeto, o que é aplicável a qualquer tipo de projeto, independentemente de sua complexidade ou área de aplicação.
- D) Segundo a norma ABNT NBR ISO/IEC 27002, convém que haja gestão da identidade ainda que não seja possível assegurar que uma identidade esteja especificamente vinculada apenas a uma única pessoa.
- E) Segundo a norma ABNT NBR ISO/IEC 27002, convém que o processo de alocação e gestão de identidade assegure que senhas pessoais não sejam fáceis de adivinhar, com exceção dos números de identificação pessoal (PIN) gerados automaticamente durante os processos de inscrição.
Marque a alternativa correta:
Gabarito: C
Gabarito definitivo divulgado pela banca Cebraspe (MP/RO 2023).
Comentário
Gabarito: C.
A ABNT NBR ISO/IEC 27002 trata a segurança da informação no gerenciamento de projetos: convém que os riscos de segurança da informação sejam abordados como parte do gerenciamento de projetos, e isso se aplica a qualquer tipo de projeto, independentemente de sua complexidade, duração ou área de aplicação. A alternativa C reproduz essa orientação.
- A está errada: a segregação de funções visa reduzir o risco de fraude e erro, separando atribuições conflitantes; não é um princípio que proíba auditoria. A ISO/IEC 27001 exige, ao contrário, auditorias internas e programa de auditoria.
- B está errada: a ISO/IEC 27001 exige que o processo de avaliação de riscos defina tanto os critérios de avaliação quanto os critérios de aceitação de riscos; não se prescinde destes.
- D está errada: a gestão de identidade deve assegurar que uma identidade esteja vinculada a uma única pessoa, para permitir responsabilização; identidade associada a várias pessoas só é admitida em casos excepcionais, com aprovação e documentação, e não como regra.
- E está errada: a norma pede senhas pessoais difíceis de adivinhar sem abrir exceção para PIN gerado automaticamente; também os PINs devem ser imprevisíveis.
Fundamentos: ABNT NBR ISO/IEC 27002 - segurança da informação no gerenciamento de projetos · ABNT NBR ISO/IEC 27001 - avaliação e critérios de aceitação de riscos
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe MP/RO 2023 (Analista de Redes e Comunicação de Dados), questão 37, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.