a) a implementação de controles específicos pode ser delegada pelo proprietário, passando a responsabilidade pela proteção destes
ativos a quem assumiu a sua implementação. [ERRADA]
NBR ISO/IEC 27002:2013, página 24:
"As tarefas de rotina podem ser delegadas, por exemplo, para um custodiante cuidar dos ativos no dia-a-dia, mas a responsabilidade
permanece com o proprietário."
-----------------------------------------------------------------------------------------
b) os níveis de proteção devem ser iguais para todos os ativos, considerando-se que todos eles são importantes para a organização. [ERRADA]
NBR ISO/IEC 27002:2013, página 24:
"Objetivo: Assegurar que a informação receba um nível adequado de proteção, de acordo com a sua importância para a organização."
-----------------------------------------------------------------------------------------
c) os ativos de informação são restritos aos aplicativos, sistemas, utilitários, serviços de computação e telecomunicações,
aplicativos em nuvem e ferramentas de desenvolvimento. [ERRADA]
NBR ISO/IEC 27002:2013, página 4:
"O valor da informação vai além das palavras escritas, números e imagens: conhecimento, conceitos, ideias e marcas são exemplos
de formas intangíveis da informação. Em um mundo interconectado, a informação e os processos relacionados, sistemas, redes
e pessoas envolvidas nas suas operações, são informações que, como outros ativos importantes, têm valor para o negócio da
organização e, consequentemente, requer proteção contra vários riscos."
-----------------------------------------------------------------------------------------
d) o proprietário do ativo deve ser responsável por definir e, periodicamente, analisar criticamente as classificações e restrições
ao acesso aos ativos importantes, levando em conta as políticas de controle de acesso aplicáveis. [CORRETA]
NBR ISO/IEC 27002:2013, página 24:
"Convém que o proprietário do ativo defina e periodicamente analise criticamente as classificações e restrições ao acesso aos ativos
importantes, levando em conta as políticas de controle de acesso aplicáveis."
-----------------------------------------------------------------------------------------
e) é facultativo a fornecedores e terceiros seguir as regras para o uso permitido de informações e de ativos associados aos
recursos de processamento da informação, porém, é obrigatório aos funcionários. [ERRADA]
NBR ISO/IEC 27002:2013, página 24:
"Convém que funcionários e partes externas que usam ou têm acesso aos ativos da organização estejam conscientes dos requisitos
de segurança da informação dos ativos da organização, associados com a informação e os recursos e instalações de processamento
da informação. Convém que eles sejam responsáveis pelo uso de qualquer recurso de processamento da informação e tal uso seja
realizado sob sua responsabilidade."