Questão 1348186

• Banca: CESPE / CEBRASPE
• Órgão: TRT - 8ª Região (PA e AP)
• Ano: 2013
• Provas: CESPE - 2013 - TRT - 8ª Região (PA e AP) - Analista Judiciário - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

Para estabelecer um sistema de gestão de segurança da informação, deve-se preparar uma declaração de aplicabilidade. Nesse sentido, assinale a opção em que são apresentados os elementos que devem ser incluídos nessa declaração.

• A. A descrição dos requisitos de negócio, legais e regulatórios.
• B. As descrições das ameaças identificadas.
• C. Objetivos de controle e controles que satisfaçam o processo de tratamento de risco.
• D. Aprovação dos gestores e da direção da organização para implementação do sistema de gestão de segurança da informação.
• E. O escopo e os limites do sistema de gestão de segurança da informação.

Gabarito: C

Comentários

• Declaração de Aplicabilidade: 

  "SoA - Statement of Applicability" é  o documento que descreve os objetivos de controle, os controles relevantes e aplicáveis ao SGSI, com base nos resultados e conclusões dos processos de verificação e tratamento de riscos.

• Letra C.

   

  Segundo a ISO 27001:2005

  "4.2.1 Estabelecer o SGSI
  A organização deve:
  j) Preparar uma Declaração de Aplicabilidade.
  Uma Declaração de Aplicabilidade deve ser preparada, incluindo o seguinte:
  1) Os objetivos de controle e os controles selecionados em 4.2.1g) e as razões para sua seleção;
  2) Os objetivos de controle e os controles atualmente implementados (ver 4.2.1e)2)); e
  3) A exclusão de quaisquer objetivos de controle e controles do anexo A e a justificativa para sua exclusão.
  NOTA A Declaração de Aplicabilidade provê um resumo das decisões relativas ao tratamento de riscos.
  A justificativa das exclusões provê uma checagem cruzada de que nenhum controle foi omitido inadvertidamente."

   

  A versão 27001:2013 prevê a existência da "Declaração de Aplicabilidade".
  "6.1.3 Tratamento de riscos de segurança da informação.
  d) elaborar uma declaração de aplicabilidade que contenha os controles necessários (ver 6.1.3b ) e c)), e a justificativa para inclusões, sejam eles implementados ou não, bem como a justificativa para a exclusão dos controles do anexo a;"