Questão 770839

• Banca: CESPE / CEBRASPE
• Órgão: Banco da Amazônia
• Ano: 2012
• Provas: CESPE - 2012 - Banco da Amazônia - Técnico Científico - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos

Na fase “planejar” de um SGSI, define-se o contexto, procede-se à avaliação de riscos, desenvolve-se o plano de tratamento do risco e definem-se os critérios de aceitação do risco.

• C. Certo
• E. Errado

Gabarito: C

Comentários

• Plan (planejar) - estabelecer a política, objetivos, processos e procedimentos do SGSI, relevantes para a gestão de riscos e a melhoria da segurança da informação para produzir resultados de acordo com as políticas e objetivos globais de uma organização.
  Do (fazer) - implementar e operar a política, controles, processos e procedimentos do SGSI.
  Check (checar) - avaliar e, quando aplicável, medir o desempenho de um processo frente à política, objetivos e experiência prática do SGSI e apresenta os resultados p/ a análise crítica pela direção.
  Act (agir) - Executar as ações corretivas e preventivas, com base nos resultados da auditoria interna do SGSI e da análise crítica pela direção ou outra informação pertinente, para alcançar a melhoria contínua do SGSI.
  Fonte: NBR ISO/IEC 27001
• Questão diz:
  Na fase “planejar” de um SGSI, define-se o contexto, procede-se à avaliação de riscos, desenvolve-se o plano de tratamento do risco e definem-se os critérios de aceitação do risco.
  
  Mas venho estudando e percebido o abaixo:
  4.2.2 – DO – Implementar e Operar o SGSI:
  Fase “Fazer” do PDCA, onde deve-se:
  
  • A formular e implementar de um plano de tratamento de riscos;
  • Com o plano pronto, deve-se implementar os controles selecionados e deve-se também buscar uma forma de se medir a eficácia destes controles;
  http://www.leonardobastos.com.br/1/post/2012/03/clusulas-mandatrias-42-estabelecendo-e-gerenciando-o-sgsi.html
  
  Um fala que é no PLAN o outro fala que é no DO(Fazer), alguém se habilita a explicar por favor ??
  

• Essa questão realmente gera muita confusão, pois as norma 27001 e 27005 tratam o plano de tratamento de risco em fases diferentes. Vejamos:

  27001:

  4.2.2 Implementar e Operar o SGSI (DO)

  A organização deve:

  a) Formular um PLANO DE TRATAMENTO DE RISCO que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão de riscos de segurança. (ver Seção 5).

  27005:

  6 Visão geral do processo de gestão de riscos de segurança da informação - Pág 6

  (...)

  Em um SGSI, a definição do contexto, a análise/avaliação de riscos, o DESENVOLVIMENTO DO PLANO DE TRATAMENTO DE RISCOS e a aceitação do risco, fazem parte da fase "PLANEJAR".

  Como podemos perceber, na norma 27001, o plano de tratamento de risco é desenvolvido na fase DO, enquanto na norma 27005, é desenvolvido na fase PLAN. Como acertar essa questão? Basta, verificarmos o comando da questão:

  "De acordo com a NBR ISO/IEC 27005, julgue os próximos itens."
  

  De acordo com a 27005, o plano de tratamento risco é desenvolvido na fase "planejar", certa a resposta.

• Na norma 27001:2005 - a formulação do plano de tratamento de riscos está em DO 
  

  Na norma 27001:2013, que é a vigente, a formulação do plano de tratamento de riscos está em PLAN. 

  A confusão era grande. Agora cada coisa esta no seu lugar.