Questão 1550089

• Banca: FGV
• Órgão: TCE-SE
• Ano: 2015
• Provas: FGV - 2015 - TCE-SE - Analista de Tecnologia da Informação-Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

Em relação à norma de segurança da informação ISO/IEC 27001, analise as afirmativas a seguir:

I. Segundo a norma, os ativos da organização devem ser claramente identificados e inventariados.
II. É uma norma voltada para a adoção de boas práticas para a segurança da informação
III. A revisão 2013 da norma substituiu o conceito de proprietário de ativo por proprietário de risco.

Está correto somente o que se afirma em:

• A. I;
• B. II;
• C. III;
• D. I e II;
• E. I e III.

Gabarito: E

Comentários

• Recomendações de boas práticas fazem parte da ISO 27002

• ISO 27001 - Esta norma foi publicada em Outubro de 2005 e substituiu a norma BS 7799-2 para certificação de sistema de gestão de segurança da informação;

  
  ISO 27002 - Esta norma irá substituir em 2006/2007 o ISO 17799:2005 (Código de Boas Práticas);

  
  ISO 27003 - Esta norma abordará as diretrizes para Implementação de Sistemas de Gestão de Segurança da Informação, contendo recomendações para a definição e implementação de um sistema de gestão de segurança da informação.

• Deceria ser a A

• No anexo da 27001:2013, A.8 Gestão de Ativos, informa que:

  "Os ativos associados com informação e com os recursos e processamento da informação devem ser identificados e um inventário destes ativos deve ser estruturado e mantido."

  Apesar da norma não falar que TODOS os ativos devam ser inventariados, este coloca o item I como correto.

  
  

  Porém, o item A.8.1.2, informa que ainda existe o Proprietário dos ativos, o que deixaria o item III errado.

  "Os ativos mantidos no inventário devem ter um proprietário."

  
  

  Questão confusa.

• Também concordo que o gabarito deveria ser a).

  Vamos na fé.

• Seguindo os colegas abaixo, também discordo do gabarito, visto que proprietário dos ativos aparece na norma de 2013. Também aparecer o termo 'responsável pelos riscos'

  "6.1.2 Avaliação de riscos de segurança da informação 

              ....

             c) identifique os riscos de segurança da informação: 

                  .....

               2) identifique os responsáveis dos riscos"

  Mas conforme dito pelos colegas abaixo, isso NÃO SUBSTITUI O CONCEITO DE PROPRIETÁRIO DE ATIVO.

  GABARITO, pela banca, ALTERNATIVA E.

   

  Gabarito, consoante a norma, ALTERNATIVA A.

• N.d.a. - apenas os ativos que tem relevância para o SGSI devem ser identificados e classificados.

• Gabarito totalmente fora da realidade, espero que alguém tenha recorrido.