Questão 1159309

• Banca: FEPESE
• Órgão: MPE-SC
• Ano: 2014
• Provas: FEPESE - 2014 - MPE-SC - Analista - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

Analise as afrmativas abaixo com relação à norma ABNT NBR ISO/IEC 27002 de 2005.

1. A legislação vigente a que a organização e seus parceiros de negócio devem atender é uma fonte de requisitos de segurança da informação.

2. A análise/avaliação de riscos para a organização leva em consideração as estratégias globais de negócio da organização.

3. A análise/avaliação de riscos deve ser repetida periodicamente para contemplar mudan- ças que possam alterar os resultados dessa análise/avaliação.

4. A norma defne critérios para determinar se os riscos encontrados podem ser aceitos ou não.

5. Uma possível opção para o tratamento do risco é transferir o risco associado para outras partes, como por exemplo, fornecedores ou seguradoras.

Assinale a alternativa que indica todas as afrmativas corretas.

• A. São corretas apenas as afrmativas 1, 2 e 4.
  
• B. São corretas apenas as afrmativas 3, 4 e 5.
  
• C. São corretas apenas as afrmativas 1, 2, 3 e 4.
  
• D. São corretas apenas as afrmativas 1, 2, 3 e 5
  
• E. São corretas apenas as afrmativas 2, 3, 4 e 5.

Gabarito: D

Comentários

• 1. e 2.)Segundo a ISO 27002,"0.3 Como estabelecer requisitos de segurança da informação

  Uma fonte é obtida a partir da análise/avaliação de riscos para a organização, levando-se em conta os objetivos e as estratégias globais de negócio da organização. [...]

  Uma outra fonte é a legislação vigente, os estatutos, a regulamentação e as cláusulas contratuais 

  que a organização, seus parceiros comerciais, contratados e provedores de serviço têm que atender,  

  além do seu ambiente sociocultural.

  3.)0.4 Analisando/avaliando os riscos de segurança da informação

  Convém que a análise/avaliação de riscos seja repetida periodicamente para contemplar quaisquer mudanças que possam influenciar os resultados desta análise/avaliação.

  4.)4.2 Tratando os riscos de segurança da informação

  Convém que, antes de considerar o tratamento de um risco, a organização defina os critérios para determinar se os riscos podem ser ou não aceitos."

  5.)4.2 Tratando os riscos de segurança da informação

  Possíveis opções para o tratamento do risco, incluem:
  

  d) transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores.
  

  ---------------------------------

  **A ALTERNATIVA 4 É EXTREMAMENTE CAPCIOSA. =/ MALDITO EXAMINADOR!