Questão 55 · Informática: Segurança da informação
Segundo a NBR ISO/IEC n.º 27002:2013, entre as diretrizes para implementação referente a responsabilidade e papéis pela segurança da informação, inclui-se a
- A) declaração, na política de segurança da informação, de atribuições de responsabilidades, gerais e específicas, para o gerenciamento da segurança da informação.
- B) declaração, na política de segurança da informação, de processos para o tratamento de desvios e exceções.
- C) definição das responsabilidades pelas atividades do gerenciamento de riscos de segurança da informação e, em particular, pela aceitação dos riscos residuais.
- D) existência de um gestor específico que tenha aprovado a responsabilidade pelo desenvolvimento, pela análise crítica e pela avaliação de cada política de segurança da informação.
- E) responsabilização por classificação da informação, gerenciamento dos ativos da organização e processamento da informação conduzidos por funcionários, fornecedores ou partes externas.
Marque a alternativa correta:
Gabarito: C
Gabarito definitivo divulgado pela banca Cebraspe (TCE/RO 2019).
Comentário
Gabarito: C.
Na NBR ISO/IEC 27002:2013, o controle de funções e responsabilidades pela segurança da informação traz como diretriz definir as responsabilidades pelas atividades de gerenciamento de riscos de segurança da informação e, em particular, pela aceitação dos riscos residuais. A alternativa C reproduz essa diretriz e está correta.
- A: declarar na política as atribuições de responsabilidades gerais e específicas é diretriz do conteúdo da política de segurança, e não da diretriz de responsabilidades e papéis em questão.
- B: a declaração de processos para tratamento de desvios e exceções também é elemento da política de segurança da informação.
- D: a existência de um gestor responsável pelo desenvolvimento, análise crítica e avaliação da política é diretriz da análise crítica das políticas, e não de responsabilidades e papéis.
- E: a responsabilização por classificação da informação, gerenciamento de ativos e processamento da informação por funcionários, fornecedores ou partes externas é tema de outros controles (como os de ativos e de recursos humanos), e não a diretriz pedida.
Dica: nas questões da 27002, identifique primeiro o controle perguntado; várias alternativas são diretrizes verdadeiras, mas de outros controles.
Fundamentos: NBR ISO/IEC 27002:2013, cláusula 6.1.1 (Funções e responsabilidades pela segurança da informação)
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe TCE/RO 2019 (Analista de Tecnologia da Informação – Especialidade: Desenvolvimento de Sistemas), questão 55, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.