Questão de Segurança da Informação · CEBRASPE SEMA AM 25 2025 (nº 64)

Conceito-chave: Ter política escrita e bonita no papel é conformidade formal (cumprir a forma). Segurança da informação de verdade exige o ciclo PDCA — Planejar, Executar, Verificar e Agir — com treinamento (pessoas), monitoramento contínuo (verificação) e testes de controles (validação). Sem essas etapas, a organização só "posa" de segura.

• (A) Incorreta: Vulnerabilidade humana não se elimina só com documento; sem treinamento, o fator humano continua sendo o elo mais fraco.
• (B) Incorreta: Maturidade exige evidências de execução, medição e melhoria contínua — o cenário mostra o oposto: só papel, sem prática.
• (C) Correta: É exatamente o que Sêmola critica: segurança tratada como conformidade formal (cumprir ISO/LGPD no documento), sem gestão real — sem treinar, sem monitorar, sem testar. Documento sem execução não reduz risco.
• (D) Incorreta: Accountability (responsabilização) da LGPD exige demonstrar na prática que os controles funcionam; só ter política não comprova nada.
• (E) Incorreta: Risco não cai "automaticamente" por existir documento; sem controles testados e monitorados, o risco permanece ou até cresce (falsa sensação de segurança).

Distrator mais tentador — (B): a banca aposta que o aluno associa "documentação completa + alinhada à ISO e LGPD" a maturidade alta. Armadilha: maturidade se mede pelo que a organização faz (executa, mede, corrige), não pelo que escreve. Documento é só o nível inicial (planejamento); sem Executar-Verificar-Agir, não há maturidade.