Questão nº 69
Questão de Análise de Sistemas · CESGRANRIO BNDES 01/2024 (nº 69)
A norma ABNT NBR ISO/IEC 27002:2022 organiza os controles de segurança em diferentes categorias (ou temas), e cada controle está associado a cinco atributos com valores de atributo correspondentes. Dentre esses atributos, o de domínios de segurança é usado para visualizar controles na perspectiva de quatro domínios de segurança da informação.
Os valores desse atributo consistem em:
- AConfidencialidade, Integridade, Disponibilidade e Resiliência
- BGovernança, Defesa, Continuidade e `Segurança_física`
- CGovernança, Confidencialidade, Integridade e Disponibilidade
- D`Governança_e_Ecossistema`, Proteção, Defesa e Resiliência (alternativa correta)
- E`Governança_e_Ecossistema`, Proteção, Defesa e `Segurança_física`
Resposta comentada
Gabarito Alternativa D
A norma ABNT NBR ISO/IEC 27002:2022 usa atributos para classificar cada controle de segurança, permitindo diferentes visões (por tipo de controle, por domínio, etc.). O atributo "domínios de segurança" agrupa os controles em quatro grandes áreas estratégicas, que vão da gestão do ecossistema até a capacidade de se recuperar de incidentes: Governança e Ecossistema, Proteção, Defesa e Resiliência. Pense assim: primeiro você governa e define regras com parceiros (ecossistema), depois protege os ativos, em seguida se defende de ataques ativos e, por fim, garante a continuidade e recuperação (resiliência).
- (A) Incorreta: Confidencialidade, Integridade, Disponibilidade e Resiliência são objetivos da tríade CID (e resiliência), não os domínios da norma; a banca troca o nome do atributo para confundir.
- (B) Incorreta: "Governança, Defesa, Continuidade e Segurança_física" mistura temas operacionais (continuidade, segurança física) com um domínio real, mas não corresponde aos quatro domínios oficiais da norma.
- (C) Incorreta: "Governança, Confidencialidade, Integridade e Disponibilidade" repete o erro da (A) ao usar princípios de segurança (CID) como se fossem domínios, além de omitir Proteção, Defesa e Resiliência.
- (D) Correta: A norma define exatamente os quatro domínios de segurança da informação como Governança e Ecossistema, Proteção, Defesa e Resiliência; é o valor oficial do atributo.
- (E) Incorreta: A pegadinha mais tentadora: substitui "Resiliência" por "Segurança_física". A banca quer que você lembre que Segurança Física é um controle (ou tema), não um domínio; o domínio final é Resiliência, que cobre continuidade e recuperação.
Fonte: CESGRANRIO BNDES 01/2024 Analista - Análise de Sistemas (Cibersegurança) (Caderno Prova 2). Reproduzida para fins de estudo.