Questão 47053

• Banca: ESAF
• Órgão: ANA
• Ano: 2009
• Provas: ESAF - 2009 - ANA - Analista Administrativo - Tecnologia da Informação - Redes
• Disciplina: Segurança da Informação
• Assuntos: Conceitos Básicos em Segurança da Informação; Políticas de Segurança de Informação

A política de segurança de uma organização pressupõe, primordialmente,

• A. a publicação do documento em meios de comunicação variados.
• B. a análise crítica regularmente, em intervalos planejados.
• C. a aprovação da direção e a conformidade com requisitos de negócio.
• D. a declaração de responsabilidades para a segurança da informação.
• E. a identificação dos riscos relacionados com partes externas.

Gabarito: C

Comentários

• Como a questão pede o que PRIMORDIALMENTE pressupõe uma PS, a ISO 27002 (27002 = renumeração da 17799) quando começa a falar sobre os objetivos e o que deve conter na PS, deixa claro que deve prover apoio da direção...... leiam.. ISO 17799/2005 - (Cap. 5)"Política de segurança da informaçãoObjetivo: Prover uma orientação e apoio da direção para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações relevantes.Convém que a direção estabeleça uma política clara, alinhada com os objetivos do negócio e demonstre apoio e comprometimento com a segurança da informação por meio da publicação e manutenção de uma política de segurança da informação para toda a organização."
• A resposta da questão está na palavrinha PRESSUPÕE.
  Isso quer dizer que para existir a Política de Segurança, para ela ser aprovada, deve antes de mais nada ser aprovada pela alta direção e, claro, estar alinhada com os requisitos do negócio, por isso a letra C está correta.
  
  a) Sim, a política deve ser de conhecimento de todos mas isso vem depois da aprovação dela.
  b) Sim, a política deve ser revista periodicamente, até mesmo porque é baseada no modelo PDCA, mas isto também vem depois da aprovação da política.
  c) CORRETA
  d) Sim, a deve ser feita a declaração de responsabilidades para SI, que é o proprietário, custodiante, controlador e o usuário dos ativos de informação, mas isso também vem depois.
  e) Sim, todos os riscos devem ser identificados inclusive os relacionados com partes externas, mas também isso vem depois da aprovação da política de segurança.
  
  Questão muito boa pois ela toda é verdade, mas o examinador pediu o que antecede a política de segurança e não o que sucede.