Questão 828124

• Banca: CESPE / CEBRASPE
• Órgão: TJ-RO
• Ano: 2012
• Provas: CESPE - 2012 - TJ-RO - Analista Judiciário - Analista de Sistemas Suporte
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

À luz do código de prática para a gestão da segurança da informação (ABNT NBR 27002/2005), assinale a opção correta.

• A. Os requisitos de segurança da informação de uma organização são obtidos por três fontes principais, sendo a análise/avaliação de riscos uma delas.
  
• B. Visando reduzir os riscos a um nível aceitável, a seleção de controles apropriados para implementação da segurança da informação é efetuada imediatamente após a identificação dos fatores de risco.
  
• C. No escopo legal da segurança da informação, há três controles essenciais para uma organização: o documento da política de segurança da informação, a atribuição de responsabilidades pela segurança da informação e o processamento correto das aplicações.
  
• D. A cultura organizacional não influencia a adoção de abordagem e estrutura para implementação, monitoramento e melhoria da segurança da informação.
  
• E. A segurança da informação é alcançada por meio da adoção de um conjunto de tecnologias adequadas.
  

Gabarito: A

Comentários

• Existem três fontes principais de requisitos de segurança da informação:
  
  1 - Análise/avaliação de riscos;
  2 - Legislação vigente, estatutos, regulamentação e as cláusulas contratuais;
  3 - Conjunto particular de princípios, objetivos e requisitos de negócio.
• A resposta dada pelo Tiago Sudeval Ferreira Duarte se encontra na norma 27002 seçao 0 - Introduçao / 0.4 - Como estabelecer requisitos de segurança da informação.
• Segue o mapa mental que eu fiz de Estabelecer Requisitos de Segurança de Informação
• Sobre a letra e:
  
  
  Isso é o que está escrito na norma:
  Information security is achieved by implementing a suitable set of controls, including policies, processes, procedures, organizational structures and software and hardware functions.
  
  Definição de tecnologia do wikipedia:
  
  

  Tecnologia (do grego τεχνη — "técnica, arte, ofício" e λογια — "estudo") é um termo que envolve o conhecimento técnico ecientífico e a aplicação deste conhecimento através de sua transformação no uso de ferramentas, processos e materiais criados e/ou utilizados a partir de tal conhecimento. Dependendo do contexto, a tecnologia pode ser:

  • As ferramentas e as máquinas que ajudam a resolver problemas;
  • As técnicas, conhecimentos, métodos, materiais, ferramentas e processos usados para resolver problemas ou ao menos facilitar a solução dos mesmos;
  • Um método ou processo de construção e trabalho (tal como a tecnologia de manufatura, a tecnologia de infraestrutura ou atecnologia espacial);
  • A aplicação de recursos para a resolução de problemas;
  • O termo tecnologia também pode ser usado para descrever o nível de conhecimento científico, matemático e técnico de uma determinada cultura;
  • Na economia, a tecnologia é o estado atual de nosso conhecimento de como combinar recursos para produzir produtos desejados (e nosso conhecimento do que pode ser produzido).
  • Os recursos e como utilizá-los para se atingir a um determinado objetivo, para se fazer algo, que pode ser a solução ou minimização de um problema ou a geração de uma oportunidade, por exemplo.

  
  Em resumo: não vejo o erro.

• Complementando a resposta...

  b) Visando reduzir os riscos a um nível aceitável, a seleção de controles apropriados para implementação da segurança da informação é efetuada imediatamente após a identificação dos fatores de risco. - Errado

  0.4. Analisando/avaliando os riscos de Segurança da Informação

  “(...)Os requisitos de segurança da informação são identificados por meio de uma análise/avaliação sistemática dos riscos de segurança da informação. Os gastos com os controles precisam ser balanceados de acordo com os danos causados aos negócios (...)”

  “(...)Uma vez tendo sido identificados os requisitos de segurança, convém que os controles sejam selecionados e implementados para assegurar que os riscos são reduzidos (...)

  c) No escopo legal da segurança da informação, há três controles essenciais para uma organização: o documento da política de segurança da informação, a atribuição de responsabilidades pela segurança da informação e o processamento correto das aplicações. – Errado
  

  --

  0.6. Ponto de partida para a segurança da informação

  “(...) Um número de controles pode ser considerado como princípios básicos,  fornecendo um bom ponto de partida”

  “Os controles considerados essenciais para uma organização, sob o ponto de vista legal, incluem:

  a) proteção de dados e privacidade de informações pessoais.

  b) salvaguarda de registros organizacionais.

  c) direitos de propriedade intelectual.”

  --

  d) A cultura organizacional não influencia a adoção de abordagem e estrutura para implementação, monitoramento e melhoria da segurança da informação. - Errado

  0.7. Fatores Críticos de Sucesso

  “A experiência tem mostrado que os seguintes fatores são geralmente críticos para o sucesso da implementação da segurança da informação dentro de uma organização:

  b) uma abordagem e uma estrutura para a implementação, manutenção, monitoramento e melhoria da segurança da informação que seja consistente com a cultura organizacional;

  c) comprometimento e apoio visível de todos os níveis gerenciais; (...)”

  --

  e) A segurança da informação é alcançada por meio da adoção de um conjunto de tecnologias adequadas.  - Errado. 

  0.2. Por que a segurança da informação é necessária?

  “(...) A segurança que pode ser alcançada por meios

  técnicos é limitada e convém que seja apoiada por gestão e procedimentos apropriados. A identificação de quais controles

  convém que sejam implantados requer planejamento cuidadoso e atenção aos detalhes.  “

  --

  []´s

  Fernando Palma

  http://www.portalgsti.com.br/