Questão de Tecnologia da Informação · CESGRANRIO CAIXA 1/2021/NM (nº 60)

A Resolução CMN nº 4.893/2021 exige que a política de segurança cibernética e o plano de ação e resposta a incidentes sejam formalizados (documentados) e revisados com periodicidade mínima anual. Ou seja, a cada 12 meses, a instituição deve reavaliar se esses documentos continuam adequados aos riscos e às mudanças no ambiente.

• (A) Incorreta: A revisão trimestral (a cada 3 meses) é mais frequente do que o mínimo exigido pela norma; a Resolução não impõe prazo tão curto.
• (B) Incorreta: A revisão semestral (a cada 6 meses) também é mais curta que o mínimo legal; não é o que o texto determina.
• (C) Correta: O art. 3º, § 2º, da Resolução CMN nº 4.893/2021 estabelece que a política e o plano devem ser revisados anualmente, no mínimo, ou quando ocorrerem fatos relevantes que justifiquem revisão extraordinária.
• (D) Incorreta: A revisão bienal (a cada 2 anos) é menos frequente que o mínimo anual; estaria em desacordo com a norma.
• (E) Incorreta: A revisão trienal (a cada 3 anos) é ainda mais espaçada que a bienal, violando a exigência de revisão mínima anual.

Armadilha da banca: O distrator mais tentador é a letra B (semestral). Muitos alunos confundem a revisão da política com a avaliação de riscos (que, em algumas normas de segurança, é semestral) ou acham que "documentos de segurança" precisam de revisão mais frequente. A banca explora essa associação automática, mas a Resolução é explícita: a palavra usada é "anualmente". Outra pegadinha comum é achar que "revisar" significa "atualizar" a cada incidente; a norma fixa o prazo máximo de 1 ano, independentemente de ter havido ou não incidentes no período.