Questão de Segurança da Informação · CEBRASPE TCE MS 2025 SERVIDOR (nº 59)

O conceito-chave é que a ISO/IEC 27001 é a norma certificável que especifica os requisitos para implantar um SGSI (Sistema de Gestão de Segurança da Informação), ou seja, o "o quê" fazer. Já a ISO/IEC 27002 é um guia de boas práticas (um catálogo de controles) que sugere o "como" fazer, sem caráter obrigatório ou de certificação.

• (A) Incorreta: Nenhuma norma ISO é obrigatória por lei para instituições educacionais; a adoção é voluntária e baseada em necessidade de negócio, não em imposição legal.
• (B) Incorreta: A 27002 não substitui normas de gestão de riscos (como a ISO 31000) e a 27001 não é obrigatória para universidades públicas; ambas são voluntárias e complementares.
• (C) Incorreta: A 27001 não trata especificamente de criptografia acadêmica (isso é um controle dentro do Anexo A) e a 27002 não foca auditoria financeira, mas sim segurança da informação.
• (D) Incorreta: A 27001 define os requisitos de gestão (não controles técnicos específicos) e a 27002 não trata de gestão da qualidade educacional, mas sim de controles de segurança da informação.
• (E) Correta: A ABNT NBR ISO/IEC 27002 é exatamente um guia de diretrizes e boas práticas para selecionar e implementar controles de proteção dos ativos de informação, servindo de apoio à 27001.