Questão de Segurança da Informação · CEBRASPE SEMA AM 25 2025 (nº 72)

A gestão de incidentes de segurança da informação é o conjunto de ações para detectar, responder e aprender com falhas de segurança. Na NBR ISO/IEC 27001:2022, esse aprendizado não fica guardado: ele deve retroalimentar o sistema, ou seja, reforçar e melhorar os controles (medidas de proteção) para evitar que o problema se repita.

• (A) Correta: É exatamente o que a norma determina: o conhecimento gerado pelos incidentes deve ser usado para fortalecer e melhorar os controles de segurança da informação, fechando brechas e elevando o nível de proteção.
• (B) Incorreta: Sucessão de chefias é tema de gestão de pessoas/governança, não do aprendizado com incidentes de segurança.
• (C) Incorreta: Responsabilizar pessoal pode até ocorrer em processo disciplinar, mas não é a finalidade prevista na norma para o conhecimento adquirido com incidentes.
• (D) Incorreta: Critérios de seleção de RH pertencem à gestão de recursos humanos, sem relação com o aprendizado pós-incidente exigido pela norma.
• (E) Incorreta: Adquirir ferramentas pode ser consequência, mas a norma fala de melhorar os controles de forma ampla, não de definir novos sistemas a comprar — essa é a pegadinha: confundir "melhorar controles" com "comprar ferramentas".