Questão de Segurança da Informação · CEBRASPE SEMA AM 25 2025 (nº 73)

A gestão de incidentes é o processo de detectar, registrar, classificar e responder a eventos que ameaçam a segurança da informação. A norma ISO/IEC 27002:2022 orienta que os prazos de tratamento e resolução sejam definidos conforme a prioridade do incidente, e essa prioridade é calculada a partir de dois fatores: severidade (o quão grave é o impacto) e consequências potenciais (o que pode acontecer se nada for feito).

• (A) Incorreta: A disponibilidade da equipe é uma restrição operacional, não o critério normativo para definir prioridade e prazos; a equipe se adapta à prioridade, e não o contrário.
• (B) Incorreta: Ordem cronológica (quem chegou primeiro) é critério de fila, não de risco; um incidente crítico reportado depois não pode esperar atrás de um trivial.
• (C) Correta: É o gabarito: a ISO/IEC 27002:2022 vincula os prazos à prioridade, e a prioridade se define pela severidade e pelas consequências potenciais do incidente — quanto maior o impacto possível, mais rápido o tratamento.
• (D) Incorreta: O relato do colaborador é apenas a fonte de informação inicial; ele não determina prioridade nem prazo, pois pode estar incompleto ou subjetivo.
• (E) Incorreta: Complexidade técnica afeta o esforço de resolução, mas não é o critério de priorização; um incidente simples pode ser altíssimo risco e exigir ação imediata.

Distrator mais tentador — (E): a banca explora a intuição de que "quanto mais complexo, mais tempo leva". Isso confunde esforço de execução com prioridade de tratamento. A norma não manda priorizar pelo que é difícil, e sim pelo que é grave e perigoso. Guarde a regra: prioridade = severidade × consequência potencial, não complexidade.