Questão 1379818

• Banca: FEPESE
• Órgão: MPE-SC
• Ano: 2014
• Provas: FEPESE - 2014 - MPE-SC - Analista em Tecnologia da Informação - Reaplicação
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

Com relação à norma ABNT NBR 27001:2006 são realizadas as seguintes afirmativas:

1. De acordo com a norma, a organização deve continuamente melhorar a eficácia do SGSI por meio do uso da política de segurança da informação, objetivos de segurança da informação, resultados de auditorias, análises de eventos monitorados, ações corretivas e preventivas e análise crítica pela direção.
2. O SGSI (Sistema de Gestão de Sistemas da Informação) é a parte do sistema de gestão global, baseado na abordagem de riscos do negócio, para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar a segurança da informação.
3. A auditoria interna do SGSI não é discutida nesta norma sendo este aspecto direcionado à ABNT NBR 27002:2005.
4. A norma define incidente de segurança da informação como um simples evento de segurança da informação indesejado ou esperado ou uma série deles, com grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.

Assinale a alternativa que indica todas as afirmativas corretas.

• A. É correta apenas a afirmativa 1.
• B. São corretas apenas as afirmativas 1, 2 e 3.
• C. São corretas apenas as afirmativas 1, 3 e 4.
• D. São corretas apenas as afirmativas 2, 3 e 4.
• E. São corretas as afirmativas 1, 2, 3 e 4.

Gabarito: A

Comentários

• A Questão deveria ser cancelada pois diz que somente o item 1 está correto. Porém, o item 2 também está correto:

  De Acordo com a Norma 27001: 

  3.7

  sistema de gestão da segurança da informação

  SGSI

  a parte do sistema de gestão global, baseado na abordagem de riscos do negócio, para estabelecer, implementar,

  operar, monitorar, analisar criticamente, manter e melhorar a segurança da informação

  .....

  8.1 Melhoria contínua

  A organização deve continuamente melhorar a eficácia do SGSI por meio do uso da política de segurança da

  informação, objetivos de segurança da informação, resultados de auditorias, análises de eventos monitorados,

  ações corretivas e preventivas e análise crítica pela direção (ver seção 7).

  
  

• Amigo,  a questão afirma que SGSI é "Sistema de Gestão de Sistemas da Informação" o que não condiz com a norma.

  Logo, está correta apenas a alternativa 1.

   

• Erro do item 4: um incidente de segurança da informação é um evento simples ou uma série de eventos de segurança da informação indesejados ou inesperados, segundo o texto da referida norma.

• Sendo o ITEM III ---> ERRADO

  Não resta opção, alternativa "A".

  
  

  Act (Agir) (manter e melhorar o SGSI)

  Tomar as ações corretivas e preventivas, baseado nos resultados da auditoria interna do SGSI e revisão gerencial ou outra informação pertinente, para alcançar a melhoria contínua do SGSI.

  
  

  Fonte: ISO 27001