Questão 1065043

• Banca: CESPE / CEBRASPE
• Órgão: TCE-ES
• Ano: 2013
• Provas: CESPE - 2013 - TCE-ES - Analista Administrativo - Informática
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002; Norma ISO 27001

Um sistema de gestão de segurança da informação (SGSI) fornece uma abordagem sistemática na gestão de informações confidenciais da organização para mantê-la segura e tem como referências as normas ISO/IEC 27001 e 27002. Acerca desse tema, assinale a opção correta.

• A. Todos os controles previstos em norma devem ser implementados para que a organização tenha a certeza de ter atingido o mais elevado nível de proteção.
  
• B. As normas NBR ISO/IEC 27001 e 27002 dizem respeito às práticas de implementação de controles e dos requisitos para a construção de um SGSI, respectivamente.
  
• C. Risco residual é aquele que não necessita de tratamento de riscos.
  
• D. A implementação do SGSI garante à organização a inviolabilidade das suas informações.
  
• E. A ISO/IEC 27001 adota o modelo conhecido como PDCA (plan-do-check-act), que é aplicado para estruturar os processos do SGSI.

Gabarito: E

Comentários

• Memorização:

  E IO MA MM

  Plan -  Estabelecer - Objetivos, processos e os procedimentos do SGSI

  Do - Implementar e Operar - política, os procedimentos, controles e processos do SGSI

  Check - Monitorar e Analizar - realizar auditorias e Medir o desempenho dos processos

  Act - Manter e Melhorar - com ações corretivas e preventivas o SGSI.

• Gabarito: E.

   

  Lembrando que a ISO 27002 não menciona o ciclo PDCA.

• Questao interessante para relembrar os aspectos gerais das normas 27001 e 27002.

   

  a) Todos os controles previstos em norma devem ser implementados para que a organização tenha a certeza de ter atingido o mais elevado nível de proteção. - "Nem todos os controles precisam ser implementados. Requisitos obrigatórios, Controles opcionais"

   b) As normas NBR ISO/IEC 27001 e 27002 dizem respeito às práticas de implementação de controles e dos requisitos para a construção de um SGSI, respectivamente. "Inverteu os conceitos"

   c) Risco residual é aquele que não necessita de tratamento de riscos. "Risco residual é aquele que nao possui um controle especifico para o seu contingenciamento. Pode ser interpretado também como sendo um "risco aceito" pela alta direção."

   d) A implementação do SGSI garante à organização a inviolabilidade das suas informações. "Não existe essa garantia na norma"

   e) A ISO/IEC 27001 adota o modelo conhecido como PDCA (plan-do-check-act), que é aplicado para estruturar os processos do SGSI.

   

  FFF