Questão nº 84
Questão de Tecnologia da Informação · FCC TCE-GO 2022 (nº 84)
Existem diversas normas e padrões nacionais e internacionais que subsidiam a implantação de políticas de segurança de informação nas empresas. A respeito dessas normas e padrões, considere:
I. a norma ABNT NBR ISO/IEC 27005:2019 substitui a norma ABNT NBR ISO/IEC 27001:2013.
II. a norma ABNT NBR ISO/IEC 27001:2013 utiliza a abordagem de gestão de risco para auxiliar a implementação da segurança da informação.
III. a norma ABNT NBR ISO/IEC 27002:2013 foi elaborada como referência para organizações que necessitam selecionar controles de Segurança da Informação.
IV. a norma ABNT NBR ISO/IEC 27005:2019 tem por objetivo fornecer um modelo para implantação de Sistema de Gestão de Segurança da Informação a partir do entendimento do contexto da organização, passando pelo planejamento e operação, e avaliação de desempenho.
Está correto o que se afirma APENAS em
- AIII. (alternativa correta)
- BIV.
- CI e III.
- DII e IV.
- EIII e IV.
Resposta comentada
Gabarito Alternativa A
Conceito-chave: As normas ISO/IEC 27000 formam uma família: a 27001 define os requisitos para o Sistema de Gestão de Segurança da Informação (SGSI); a 27002 é um guia de boas práticas com controles; e a 27005 é um guia de gestão de riscos. Elas são complementares, não substitutas entre si.
- (A) Correta: A afirmação III é a única verdadeira: a ABNT NBR ISO/IEC 27002:2013 é exatamente um guia de referência para selecionar controles de segurança, sem ser certificável.
- (B) Incorreta: A afirmação IV está errada: quem fornece o modelo para implantar o SGSI é a norma 27001, não a 27005 (que trata apenas de gestão de riscos).
- (C) Incorreta: A afirmação I é falsa: a 27005 não substitui a 27001; são normas com papéis distintos (risco vs. sistema de gestão). A 27001 continua vigente.
- (D) Incorreta: A afirmação II é verdadeira (a 27001 usa gestão de risco), mas a IV é falsa, então a combinação não pode ser correta.
- (E) Incorreta: A afirmação III é verdadeira, mas a IV é falsa (como explicado), então a dupla não é válida.
Armadilha da banca (distrator mais tentador, letra E): A banca junta a afirmação III (correta) com a IV (errada) para confundir. A pegadinha está em trocar o papel da 27005: ela não implanta SGSI, apenas orienta a análise de riscos. Quem decora nomes de normas sem entender a função cai na letra E.
Fonte: FCC TCE-GO 2022 Analista de Controle Externo - Tecnologia da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.