Questão 770761

• Banca: CESPE / CEBRASPE
• Órgão: Banco da Amazônia
• Ano: 2012
• Provas: CESPE - 2012 - Banco da Amazônia - Técnico Científico - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

Com relação a conteúdo prático, objetivos de controles e diretrizes para implementação recomendados pela norma ABNT NBR ISO/IEC 27002, julgue o item a seguir:

Em gestão da segurança da informação, só devem ser classificadas as informações que possuam algum valor para a organização, ou seja, aquelas cuja divulgação traga algum malefício financeiro ou de imagem a qualquer indivíduo que nela trabalhe.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• O termo "... so devem ser.." é muito restritivo, como padrao toda informaçao gerada dentro da organizaçao possui valor e deve ser protegida.
• Não é que a informação deva ser classificada somente se possuir algum valor para a organização, mas sim, ela deve ser classifica em termos do seu valor:
  
  7.2.1 Recomendações para classificação
  
  Controle
  Convém que a informação seja classificada em termos do seu valor, requisitos legais, sensibilidade e criticidade para a organização.
  
  fonte: NBR ISO 27002.
• Norma ISO 27002. Dica:
  Se a questão trouxer a palavra 'deve', 'cabe exclusivamente a', etc, há uma grande probabilidade dela estar errada.
  A 27002 é um guia de boas práticas. Ela não impõe qualquer regra à organização.
  
  Bons estudos
• Toda informação relacionada direta ou indiretamente à organização deve ser classificada, mesmo aquelas que deixaram der ser sensíveis ou críticas. Atividade comprovada pelo texto da norma ISO/IEC 27.002:2005 (pag. 23): 
  "A informação freqüentemente deixa de ser sensível ou crítica após um certo período de tempo, por exemplo quando a informação se torna pública. Convém que estes aspectos sejam levados em consideração, pois uma classificação superestimada pode levar à implementação de custos desnecessários, resultando em despesas adicionais".
  Bons estudos!

• Segundo a ISO 27002:2013,

  "8.2 Classificação da informação
  Objetivo: Assegurar que a informação receba um nível adequado de proteção, de acordo com a sua importância para a organização.

  8.2.1
  Classificação da informação
  Controle
  Convém que a informação seja classificada em termos do seu valor, requisitos legais, sensibilidade e criticidade para evitar modificação ou divulgação não autorizada."