Questão de Segurança da Informação · CEBRASPE SEMA AM 25 2025 (nº 74)

A NBR ISO/IEC 27002:2022 trata a gestão de incidentes como um processo que precisa de pessoas preparadas: não basta ter procedimento escrito, é preciso garantir que quem responde ao incidente tenha competência (conhecimento + habilidade) para agir. Por isso, ao definir papéis e responsabilidades, a norma pede que a organização identifique o treinamento, a certificação e o desenvolvimento profissional continuado exigidos para o pessoal de resposta.

• (A) Incorreta: obrigações legais e regulatórias são tratadas em controles próprios de conformidade/requisitos legais, não no item de definição de papéis e responsabilidades da equipe de resposta.
• (B) Incorreta: indicadores de desempenho (KPIs) pertencem à medição e avaliação de desempenho do processo, não à identificação de competências do pessoal.
• (C) Correta: é exatamente o que a norma determina — identificar treinamento, certificação e desenvolvimento profissional continuado requeridos para o pessoal de resposta a incidentes, garantindo competência para exercer os papéis definidos.
• (D) Incorreta: níveis de autoridade e competências decisórias aparecem em outros controles (ex.: segregação de funções, delegação de autoridade), não neste requisito específico de capacitação da equipe.
• (E) Incorreta: procedimentos operacionais e fluxos de comunicação são documentação/processo, não a identificação de necessidades de capacitação do pessoal.

Armadilha da banca (distrator mais tentador — letra D): a alternativa fala em "níveis de autoridade e competências decisórias", que soa muito natural em gestão de incidentes (quem pode acionar o plano, quem decide escalar). O candidato pensa: "papéis e responsabilidades = quem manda em quem". Mas a norma, nesse ponto, está falando de competência técnica da pessoa (treinar, certificar, desenvolver), não de hierarquia decisória. Guarde a palavra-chave: se a questão cita "pessoal de resposta" + "papéis e responsabilidades", o foco é capacitação → treinamento, certificação e desenvolvimento continuado.