Questão 770710

• Banca: CESPE / CEBRASPE
• Órgão: Banco da Amazônia
• Ano: 2012
• Provas: CESPE - 2012 - Banco da Amazônia - Técnico Científico - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

A responsabilidade pela implantação do SGSI cabe exclusivamente aos profissionais da área de TI; a direção da organização apenas acompanha o processo.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• ISO/IEC 27001 padroniza segurança da informação (ISMS - Information Security Management System) promovendo-lhe um modelo para estabelecer, implementar, operar, monitorar, revisar, manter essa segurança.
  
  A especificação do SGSI de uma empresa são influenciadas pelas suas necessidades e objetivos, exigências de segurança, os processos empregados e o tamanho e estrutura da organização.
  
  Certificação ISO/IEC 27001 geralmente envolve um processo de auditoria em dois estágios:
  
  Estágio um é uma revisão em cima da mesa da existência e completude de documentação chave como a política de segurança da organização, declaração de aplicabilidade (SoA-statement of applicability) e plano de tratamento de risco (RTP-Risk treatment plan).
  
  Estágio dois tem grande auditoria para efetividade do controle ISMS declarado no SoA e PTR, bem como a documentação de suporte. Renovação do certificado implica revisões periódicas e re-declaração confirmando que o ISMS continua operando como desejado.
• Simples, rápido e fácil. Na 27001, segurança da informação é do nível estratégico, cabe aos níveis gerenciais (direção) praticamente tudo relacionado a isso. As decisões devem vir e ser autorizadas pela diretoria.
  
  Agora, na norma. 27001:2006, seção 5. Responsabilidades da direção 5.1 Comprometimento da direção A Direção deve fornecer evidências do seu comprometimento com o estabelecimento, implementação, operação, monitoramento, análise crítica, manutenção e melhoria do SGSI mediante: (...) c) o estabelecimento de papéis responsabilidades pela segurança da informação. e 5.2 Gestão de recursos
  Agora, sobre a implementação: 4.2.2 Implementar e operar o SGSI A organização deve: a) Formular um plano de tratamento de riscos que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão dos riscos de segurança
  Observa-se, portanto, que a direção tem participação ativa na fase de implementação do SGSI.

• Gabarito Errado

  Na verdade a organização também participa da implantação.

   

  Vamos na fé !

   

   

  "Retroceder Nunca Render-se Jamais !"
  Força e Fé !
  Fortuna Audaces Sequitur !