Questão 235999

• Banca: FGV
• Órgão: FIOCRUZ
• Ano: 2010
• Provas: FGV - 2010 - FIOCRUZ - Tecnologista em Saúde - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Políticas de Segurança de Informação

Quanto à política de segurança da informação organizacional, considere as afirmativas a seguir.

I. A gestão determina como um programa de segurança será criado.
II. A gestão estabelece os objetivos do programa.
III. A gestão atribui responsabilidades e mostra o valor estratégico e tático de segurança.
IV. A gestão realiza a atualização dos sistemas legados que apresentam falhas de segurança.

Assinale:

• A. se somente as afirmativas I, II e III estiverem corretas.
• B. se todas as afirmativas estiverem corretas.
• C. se somente as afirmativas I e II estiverem corretas.
• D. se somente as afirmativas II e III estiverem corretas.
• E. se somente as afirmativas I e IV estiverem corretas.

Gabarito: A

Comentários

• A gestão sempre está no alto nível das decisões, portanto não executa nada, apenas delega e ordena a execução.
  
  A alternativa IV está escancaradamente errada, logo eliminam-se alternativas B) e E).
  
  Das alternativas resultantes, tem-se que II está correto.
  
  Resta ao candidato saber que I e III estão corretas porque tais atribuições fazem parte do papel da Gestão, conforme ratificado nas normas ISO e nos modelos de Gestão de TI.
  
  
• De acordo com a ISO 27.002, a política de segurança da informação deve conter:
  * Definição de Segurança da Informação, metas globais e escopo
  * Declaração do comprometimento da direção com a Segurança da Informação
  * Estrutura para estabelecer os objetivos de controle e os controles de Segurança da Informação
  * Definição de responsabilidades referentes à Segurança da Informação

• O comentário do Junior não condiz com a questão. Política está relacionado ao nível estratégico e não tático, que é o que a questão pede.

  a) Política (nível estratégico): constituída do presente documento, define as regras de alto nível que representam os princípios básicos que a IMA decidiu incorporar à sua gestão de acordo com a visão estratégica da alta direção. Serve como base para que as normas e os procedimentos sejam criados e detalhados;

  b) Normas (nível tático): especificam, no plano tático, as escolhas tecnológicas e os controles que deverão ser implementados para alcançar a estratégia definida nas diretrizes da política;

  c) Procedimentos (nível operacional): instrumentalizam o disposto nas normas e na política, permitindo a direta aplicação nas atividades da IMA.

• Letra A

  Complementando, uma PoSIC compreende todo arcabouço de:

  - Diretrizes: definem a estratégia. Por que proteger?

  - Normas: definem a tática. O que proteger? 

  - Procedimentos: definem o operacional. Como fazer para proteger?