Questão 1823152

• Banca: CESPE / CEBRASPE
• Órgão: TRE-PI
• Ano: 2016
• Provas: CESPE - 2016 - TRE-PI - Analista Judiciário - Análise de Sistemas
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002; Norma ISO 27001

Um inquérito administrativo foi aberto para a apuração de responsabilidades pelos impactos da paralisação das atividades de determinado órgão do Judiciário brasileiro, em decorrência de um desastre ocorrido na área de TI. Uma equipe, composta por pessoal interno ao órgão e por investigadores independentes, contratados para assessorar as investigações, inquiriu a equipe que atua na área de segurança da informação, entre outras pessoas, tendo realizado entrevistas, coletado evidências e apresentado pareceres sobre a fragilidade dos planos de continuidade de negócios do órgão, bem como sobre os controles de becape, tratamento de incidentes e problemas. Foram evidenciadas algumas falhas conceituais, tanto operacionais quanto estratégicas, entre várias outras evidências de comportamento consistente.

Considerando essa situação e os conceitos de planos de continuidade de negócio, becape, recuperação de dados e tratamento de incidentes e problemas, assinale a opção que apresenta evidência de comportamento consistente.

• A. Suponha que o órgão tenha adotado uma política de continuidade que não estava baseada na análise de seus riscos próprios, mas sim baseada na cópia do documento de política obtido de outro órgão do Judiciário. Nessa situação, a política adotada está coerente com a estratégia de simplificação, uniformização e redução de custos no levantamento de requisitos de segurança para o negócio, prescrito na norma ISO/IEC 27002.
• B. Considerando-se que, após o desastre, uma greve e a consequente falta de funcionários na área de TI tenha implicado uma demora excessiva para recuperação de dados e operações essenciais do órgão, é correto afirmar que não havia erro no plano de recuperação, pois não existe prescrição para a observância do elemento pessoas na implementação da continuidade de negócios na norma ISO/IEC 27001.
• C. Considere que não havia contratação de seguro contra a perda de dados no órgão. Nesse caso, a ausência do seguro não seria evidência de que havia problemas com o plano de continuidade.
• D. Considere que não existiam no órgão pessoas de nível hierárquico elevado com responsabilidade pela coordenação do processo de gestão de continuidade de negócios. Nesse caso, não há indicação de que existiam problemas com o plano de continuidade de negócios.
• E. Considerando que o órgão não mantinha uma cópia de segurança das chaves criptográficas usadas no resguardo do sigilo de algumas informações armazenadas nos seus computadores, o que permitiu a recuperação apenas parcial de dados do becape, é correto afirmar que ocorreu um incidente, mas não um problema, com o sistema de becape.

Gabarito: C

Comentários

• Apenas um breve comentário na alternativa correta (C).

   

  De fato, nenhuma norma obriga a adoção de seguro para a eficácia de um plano de continuidade. A norma 27002 por exemplo, define estratégias de tratamento de riscos, dentre os quais temos a transferência de risco para uma organização externa - geralmente mediante à seguros. Por oportuno, veja que neste caso a estratégia poderia ser outra ao invés da transferência, o que de fato evidencia que a falta de um seguro não caracteriza um problema no plano de continuidade de negócios.

   

  Avante!

• 27001-05 RBDMG

• Nenhum dinheiro faz surgir informação perdida.