Questão 628966

• Banca: FCC
• Órgão: INFRAERO
• Ano: 2011
• Provas: FCC - 2011 - INFRAERO - Analista - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

De acordo com a norma ABNT NBR ISO/IEC 27002,

• A. convém que um conjunto apropriado de procedimentos para rotulação e tratamento da informação seja definido e implementado de acordo com o esquema de classificação adotado pela organização. Os procedimentos para rotulação da informação precisam abranger tanto os ativos de informação no formato físico quanto no eletrônico.
• B. o nível de proteção à informação é avaliado analisando-se exclusivamente a confidencialidade, a integridade e a disponibilidade da informação.
• C. convém que todos os ativos sejam claramente identificados e um inventário de todos os ativos importantes seja estruturado e mantido para o caso da recuperação de um desastre. É conveniente que esse inventário duplique outros inventários para garantir que as informações estejam sempre disponíveis, mesmo que o conteúdo não esteja totalmente coerente.
• D. a classificação dada à informação é uma maneira de determinar como esta informação será tratada, mas não como será protegida.
• E. não é conveniente que o proprietário e a classificação da informação sejam acordados e documentados para cada um dos ativos, entretanto, convém que, com base na importância do ativo, seu valor para o negócio e a sua classificação de segurança, níveis de proteção proporcionais à importância dos ativos sejam identificados.

Gabarito: A

Comentários

• Segundo a ISO 27002
  
      a) convém que um conjunto apropriado de procedimentos para rotulação e tratamento da informação seja definido e implementado de acordo com o esquema de classificação adotado pela organização. Os procedimentos para rotulação da informação precisam abranger tanto os ativos de informação no formato físico quanto no eletrônico. (Correto)
  
      b) o nível de proteção à informação é avaliado analisando-se exclusivamente a confidencialidade, a integridade e a disponibilidade   da informação   valor, requisitos legais, sensibilidade e criticidade para a organização. (7.2.1 Recomendações para classificação)
  
      c) convém que todos os ativos sejam claramente identificados e um inventário de todos os ativos importantes seja estruturado e mantido para o caso da recuperação de um desastre. É conveniente que esse inventário duplique outros inventários para garantir que as informações estejam sempre disponíveis, mesmo que o conteúdo não esteja totalmente coerente.
  
      d) a classificação dada à informação é uma maneira de determinar como esta informação será tratada, mas e não como será protegida.
  
      e) não é conveniente que o proprietário e a classificação da informação sejam acordados e documentados para cada um dos ativos, entretanto, convém que, com base na importância do ativo, seu valor para o negócio e a sua classificação de segurança, níveis de proteção proporcionais à importância dos ativos sejam identificados.

• Qual é o erro da Letra e ?

• c) não é conveniente que o proprietário e a classificação da informação sejam acordados e documentados para cada um dos ativos, entretanto, convém que, com base na importância do ativo, seu valor para o negócio e a sua classificação de segurança, níveis de proteção proporcionais à importância dos ativos sejam identificados.

  É convenienete sim. Um exemplo da vida real é que em escritórios todos os ativos são tombados. São identificados cadeiras, computadores etc.. cada um tem uma identificação, um número de tombo.

  Esgundo a norma diz o contrário. O erro da questão é o "não".

  Segundo a norma ISO 27002 É conveniente  que cada ativo seja identificado(documentado).

• LETRA A.

  Segundo a ISO 27002:2013,"8.2.2 Rótulos e tratamento da informação
  Controle
  Convém que um conjunto apropriado de procedimentos para rotular e tratar a informação seja desenvolvido e implementado de acordo com o esquema de classificação da informação adotado pela organização.

  Diretrizes para implementação
  Convém que procedimentos para a rotulação da informação abranjam a informação e os seus ativos relacionados, nos formatos físico e eletrônico."