Questão 2316448

• Banca: FIOCRUZ
• Órgão: FIOCRUZ
• Ano: 2016
• Provas: FIOCRUZ - 2016 - FIOCRUZ - Técnico em Saúde Pública - Suporte em rede de computadores
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

Segundo a norma NBR ISO/IEC 27001, a organização deve realizar avaliações de riscos de segurança da informação a intervalos planejados, quando mudanças significativas são propostas ou ocorrem, levando-se em conta os critérios estabelecidos de aceitação do risco e para desempenho das avaliações dos riscos de SI. Quanto aos resultados das avaliações, a organização deve:

• A. divulgar os resultados ao público externo a fim de obter vantagem competitiva de mercado. 
• B. reter informação documentada dos resultados das avaliações de risco de segurança da informação.
• C. encaminhar para o órgão certificador visando obter certificação de segurança.
• D. descartar os resultados a fim de evitar a possibilidade de vazamento de informação sensível da organização quanto à sua segurança da informação.
• E. enviar o resultado para o comitê de segurança da informação a fim de validar se os resultados foram corretamente aferidos.

Gabarito: B

Comentários

• Letra B
  
   

  8.2 Avaliação de riscos de segurança da informação

  A organização deve realizar avaliações de riscos de segurança da informação a intervalos planejados, quando mudanças significativas são propostas ou ocorrem, levando em conta os critérios estabelecidos em 6.1.2 a.
  
  A organização deve reter informação documentada dos resultados das avaliações de risco de segurança da informação.
  
  Fonte: ISO 27001/2013, página 10.

• Quando fiz essa questão, errei. Depois de uma leitura mais atenta percebi como fui desatendo ao cerne dela, se a organização fez uma análise de risco demostrando os seus pontos fracos e fortes, o que se deve fazer com isso? Obviamente guardar/reter essa informação já que ela é extremamente sensível.