Questão 880918

• Banca: ESAF
• Órgão: DNIT
• Ano: 2013
• Provas: ESAF - 2013 - DNIT - Analista Administrativo - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

Na NBR ISO/IEC 27001:2006, o termo “declaração de aplicabilidade” refere-se a uma declaração documentada que descreve:

• A. a aplicabilidade dos mecanismos de análise de riscos à realidade da organização.
• B. as ferramentas e os mecanismos de gestão que são pertinentes e aplicáveis ao Modelo Integrado de Segurança da Informação da organização.
• C. os objetivos de controle e controles que são pertinentes e aplicáveis ao Sistema de Gestão de Segurança da Informação da organização.
• D. as políticas e as normas nacionais e internacionais que são pertinentes e aplicáveis ao Modelo de Gestão de Segurança da Informação da organização.
• E. os processos, as práticas e os princípios que são pertinentes e aplicáveis ao framework de Segurança da Informação da organização.

Gabarito: C

Comentários

• Resposta: c) os objetivos de controle e controles que são pertinentes e aplicáveis ao Sistema de Gestão de Segurança da Informação da organização.
  
  É conveniente destacar que a declaração de aplicabilidade deve contemplar também a justificativa para os objetivos de controle e controles que não são pertinentes ou aplicáveis ao Sistema de Gestão de Segurança da Informação.
  Declaração de aplicabilidade: declaração documentada que descreve os objetivos de controle e controles que são pertinentes e aplicáveis ao SGSI da organização. Deve conter todos, os aplicáveis e os não aplicáveis. Os não aplicáveis devem ser justificados.
  
  
• Adicionando informação à justificativa do colega acima:
  
  

  Os objetivos de controle e controles estão baseados nos resultados e conclusões dos processos de análise/avaliação de riscos e tratamento de risco, dos requisitos legais ou regulamentares, obrigações contratuais e os requisitos de negócio da organização para a segurança da informação. 
  
  É importante ter em mente a certa rigidez que a 27001 impõe as organizações quanto a exclusão de controles e/ou objetivos de controle:
  - Exclusão de controle considerado necessário aos critérios de aceitação de riscos precisa ser justificada e evidências de que os riscos associados foram aceitos pelas pessoas responsáveis precisam ser fornecidas;

  - A menos que tais exclusões não afetem a capacidade da organização, e/ou responsabilidade de prover segurança da informação que atenda os requisitos de segurança determinados pela análise/avaliação de riscos e por requisitos legais e regulamentares aplicáveis.

• Segundo a ISO 27001,"3 Termos e definições

  3.16 declaração de aplicabilidade:declaração documentada que descreve os objetivos de controle e controles que são pertinentes e aplicáveis ao SGSI da organização."