Questão 801301

• Banca: CESPE / CEBRASPE
• Órgão: MEC
• Ano: 2011
• Provas: CESPE - 2011 - MEC - Gerente de Segurança
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

Com relação aos controles a serem implementados em um SGSI,
julgue os itens seguintes.

As responsabilidades pela segurança da informação devem estar claramente definidas, oferecendo-se, como contrapartida, aos responsáveis os poderes necessários para implementação e operação dos controles, de forma a viabilizar o atendimento aos requisitos de segurança específicos.

• C. Certo
• E. Errado

Gabarito: C

Comentários

• Não entendi porque esta questão está correta.
  
  Segundo a norma:
  8.1.1 Papéis e Responsabilidades - "Convém que papéis e responsabilidades pela segurança da informação..."
  
  Na questão é usado o verbo DEVER. "As responsabilidades pela segurança da informação devem estar claramente definidas"
• Realmente...
  
  De acordo com a Norma 27002, o controle "Papéis e Responsabilidades" está assim descrito: Convém que papéis e responsabilidades pela segurança da informação de funcionários, fornecedores e terceiros sejam definidos e documentados de acordo com a política de segurança da informação da organização.
  
  Porém, a Norma 27001, em seu anexo A, assim descreve o mesmo controle: Os papéis e responsabilidades pela segurança da informação de funcionários, fornecedores e terceiros devem ser definidos e documentados de acordo com a política de segurança da informação da organização.
  
  Para que a banca tenha considerada a assertiva correta, creio que se baseou na norma 27001.
• O comando da questão é "Com relação aos controles a serem implementados em um SGSI" e a norma ISO 27001 é a nomra a ser considerada para a implementação do SGSI. A questão está correta. À luz da ISO 27001, no controle A.6.1.3 - Todas as responsabilidades pela segurança da informação devem estar claramente definidas.

• Segundo a ISO 27002:2013,"6.1.1 Responsabilidades e papéis pela segurança da informação
  Controle
  Convém que todas as responsabilidades pela segurança da informação sejam definidas e atribuídas."