Questão 1283455

• Banca: FCC
• Órgão: TRF - 4ª REGIÃO
• Ano: 2014
• Provas: FCC - 2014 - TRF - 4ª REGIÃO - Analista Judiciário - Informática
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

A norma NBR ISO/IEC 27001:2006 provê um modelo para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um Sistema de Gestão de Segurança da Informação - SGSI. Nessa norma, uma das atividades que é parte da fase de Estabelecimento do SGSI é:

• A. Formular um plano de tratamento de riscos que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão dos riscos de segurança.
• B. Definir o escopo e os limites do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo.
• C. Comunicar as ações e melhorias a todas as partes interessadas com um nível de detalhe apropriado às circunstâncias e, se relevante, obter a concordância sobre como proceder.
• D. Realizar uma análise crítica do SGSI pela direção em bases regulares para assegurar que o escopo permanece adequado e que são identificadas melhorias nos processos do SGSI.
• E. Definir como medir a eficácia dos controles ou grupos de controles selecionados, e especificar como estas medidas devem ser usadas para avaliar a eficácia dos controles de modo a produzir resultados comparáveis e reproduzíveis.

Gabarito: B

Comentários

• LETRA B. Vous descrever uma a uma conforme a norma. Vou começar pela alternativa correta. 

  
  

  B)CORRETO. Segundo a ISO 27001," 4.2.1 Estabelecer o SGSI

  A organização deve:

  a) Definir o escopo e os limites do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo (ver 1.2);"

  --------------------

  A)ERRADO. Segundo a ISO 27001,"4.2.2 Implementar e operar o SGSI

  A organização deve:

  a) Formular um plano de tratamento de riscos [...]"

  ----------------------

  C)ERRADO. Segundo a ISO 27001,"

  4.2.4 Manter e melhorar o SGSI

  A organização deve regularmente :

  c) Comunicar as ações e melhorias a todas as partes interessadas [...]"

  ------------------------

  D)ERRADO. Segundo a ISO 27001,"

  4.2.3 Monitorar e analisar criticamente o SGSI

  A organização deve:

  f) Realizar uma análise crítica do SGSI pela direção em bases regulares [...]"

  ----------------------------

  E)ERRADO. Segundo a ISO 27001,"

  4.2.2 Implementar e operar o SGSI

  A organização deve:

  d) Definir como medir a eficácia dos controles ou grupos de controles selecionados [...]"

• As letras B e E são os pegas da questão, esses controles estão na fase DO (implementar e operar) mas tratam respectivamente de Formular plano e Definir como medir ... confundindo com a fase PLAN do ciclo PDCA.
  

• EIOMAMM

• item certo: letra B
  Definir o escopo e os limites do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo.