Questão 471112

• Banca: FCC
• Órgão: INFRAERO
• Ano: 2011
• Provas: FCC - 2011 - INFRAERO - Analista de Sistemas - Gestão de TI
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

A modificação de procedimentos e controles que afetem a segurança da informação, quando necessário, para responder a eventos internos ou externos que possam impactar no Sistema de Gestão de Segurança da Informação (SGSI), incluindo mudanças de processos de negócio que afetem os requisitos de negócio existentes, constitui-se em elemento de

• A. determinação das competências necessárias ao pessoal que executa trabalhos que afetam o SGSI.
• B. saída da análise crítica do SGSI pela direção.
• C. execução de ações para eliminar as causas de não- conformidade com os requisitos do SGSI.
• D. identificação dos riscos relacionados com partes externas.
• E. vulnerabilidade ou ameaça não contemplada adequadamente nas análises/avaliações de risco anteriores.

Gabarito: B

Comentários

• A resposta correta é a letra B.
  
  A seção 6.1.8 da Norma ISO 27002 trata da análise crítica independente da segurança da informação.
  A organização deve analisar criticamente e de forma independente o seu enfoque em relação ao gerenciamento da segurança da informação e sua implementação em intervalos regulares ou sempre que ocorrerem mudanças significativas relativas à implementação da segurança da informação.
  Essa análise deve ser iniciada pela direção da organização e deve incluir avaliação para melhoria e mudanças na poliítica de segurança da informação e nos objetivos dos controles.
• A resposta para essa questão é encontrada na norma ISO/IEC 27001 seção 7.3.

  7.3 Saídas da análise crítica

  As saídas da análise crítica pela direção devem incluir quaisquer decisões e ações relacionadas a:

  a) Melhoria da eficácia do SGSI.

  b) Atualização da análise/avaliação de riscos e do plano de tratamento de riscos.

  c) Modificação de procedimentos e controles que afetem a segurança da informação, quando necessário, para

  responder a eventos internos ou externos que possam impactar no SGSI, incluindo mudanças de:

  1) requisitos de negócio;

  2) requisitos de segurança da informação;

  3) processos de negócio que afetem os requisitos de negócio existentes;

  4) requisitos legais ou regulamentares;

  5) obrigações contratuais; e

  6) níveis de riscos e/ou critérios de aceitação de riscos.

  
  
  

• LETRA B

  Para melhorar a compreensão basta ler assim

  A modificação de procedimentos e controles que afetem a segurança da informação para responder a eventos internos ou externos que possam impactar no Sistema de Gestão de Segurança da Informação (SGSI) constitui-se em elemento de saída da análise crítica do SGSI pela direção.