Questão 880903

• Banca: ESAF
• Órgão: DNIT
• Ano: 2013
• Provas: ESAF - 2013 - DNIT - Analista Administrativo - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

Na NBR ISO/IEC 27001:2006, tem-se, com relação a ações preventivas, que a organização deve determinar ações para eliminar as causas de não-conformidades potenciais com os requisitos do SGSI (Sistema de Gestão de Segurança da Informação), de forma a evitar a sua ocorrência. As ações preventivas tomadas devem ser apropriadas aos impactos dos potenciais problemas e a prioridade das ações preventivas deve ser determinada com base nos resultados do(a):

• A. Cronograma do Plano de Ações Preventivas.
• B. Parecer de viabilidade das ações preventivas.
• C. Plano de gestão do conhecimento.
• D. Análise/avaliação de riscos.
• E. Avaliação da capacitação da equipe.

Gabarito: D

Comentários

• A questão é uma cópia da norma que traz no item 8.3 - Ação preventiva o seguinte:
  
  "A prioridade de ações preventivas deve ser determinada com base nos resultados da análise/avaliação de riscos."
  
  Portanto, letra D.
• De acordo com a NBR ISO/IEC 27001:2006:
  
  O procedimento documentado para ação preventiva deve definir requisitos para:
   
  a) identificar não-conformidades potenciais e suas causas; 
  b) avaliar a necessidade de ações para evitar a ocorrência de não-conformidades; 
  c) determinar e implementar as ações preventivas necessárias; 
  d) registrar os resultados de ações executadas (ver 4.3.3); e 
  e) analisar criticamente as ações preventivas executadas.
   
  A organização deve identificar mudanças nos riscos e identificar requisitos de ações preventivas focando a atenção nos riscos significativamente alterados.
   
  "A prioridade de ações preventivas deve ser determinada com base nos resultados da análise/avaliação de riscos".