Questão 236002

• Banca: FGV
• Órgão: FIOCRUZ
• Ano: 2010
• Provas: FGV - 2010 - FIOCRUZ - Tecnologista em Saúde - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Políticas de Segurança de Informação

A respeito da política de segurança da informação, considere as afirmativas a seguir.

I. Uma política específica de sistema pode definir como o banco de dados será utilizado e protegido.
II. Uma política específica de sistema pode definir o nível de privacidade para os conteúdos dos e-mails corporativos.
III. Uma política específica de sistema pode definir como serão aplicados firewalls e sistemas de detecção de intrusos.
IV. Uma política específica de sistema pode atribuir responsabilidades aos funcionários em cargos de confiança.

Assinale:

• A. se somente as afirmativas I, II e III estiverem corretas.
• B. se todas as afirmativas estiverem corretas.
• C. se somente as afirmativas I e II estiverem corretas.
• D. se somente as afirmativas II e IV estiverem corretas.
• E. se somente as afirmativas I e III estiverem corretas.

Gabarito: E

Comentários

• Questão muito estranha. De acordo com a ISO 27.002, a política de segurança da informação deve conter:
  * Definição de Segurança da Informação, metas globais e escopo
  * Declaração do comprometimento da direção com a Segurança da Informação
  * Estrutura para estabelecer os objetivos de controle e os controles de Segurança da Informação
  * Definição de responsabilidades referentes à Segurança da Informação

• Repetindo a resposta da pelo colega abaixo, no fórum da timasters, com a qual concordo:
  "
  Revendo a questão acho que dá para justificar a resposta.
  
  Apesar do comando falar em política de segurança da informação, talvez
  intencionalmente para confundir, as alternativas falam de política
  específica e esta é feita sistema a sistema individualmente.
  Então temos:
  I - Política específica para BD
  III - Política especifica para firewall e para IDS
  
  II - Definição de nível de privacidade para conteúdo de emails é bastante
  geral e não corresponde a um sistema em si, está mais ligada a regras
  corporativas.
  IV - Atribuição de responsabilidades também está mas ligada a uma gestão de
  RH / controles de pessoal.
  
  --
  Leonardo Marcelino
  Belo Horizonte - MG
  "
• Complementando, uma PoSIC compreende todo arcabouço de:
  - Diretrizes: definem a estratégia. Por que proteger?
  - Normas: definem a tática. O que proteger? 
  - Procedimentos: definem o operacional. Como fazer para proteger?
  
  Em suma, todos os itens podem estar compreendidos dentro da PoSIC, entretanto quando se refere a sistemas, a política está próximo dos procedimentos, o que torna as afirmativas I e III estiverem corretas.