Questão nº 28
Questão de Segurança da Informação · FCC TRT15 2023 (nº 28)
FCC2023Analista Judiciário - Área Apoio Especializado - Especialidade Tecnologia da InformaçãoSegurança da Informação
Gabarito: Cver comentário ↓
A norma ABNT NBR ISO/IEC 27701:2019, na subseção 7.2.8, trata do registro das operações de tratamento de dados pessoais. Para manter esses registros, a norma sugere
- Aa criação de um documento, assinado digitalmente, compartilhado com a Autoridade Nacional de Proteção de Dados (ANPD).
- Buma política específica por tema, para os registros das operações de tratamento de dados pessoais.
- Cum inventário ou lista de atividades de tratamento de dados pessoais que a organização realiza. (alternativa correta)
- Dum ambiente cloud computing para dados, de alta disponibilidade, para garantir que os dados de registro estejam sempre disponíveis.
- Eum repositório remoto baseado em git, protegido por criptografia e controle de acesso, para gerenciar as versões dos registros de tratamento de dados pessoais que a organização realiza.
Resposta comentada
Gabarito Alternativa C
Para manter o controle e demonstrar conformidade com a proteção de dados, as organizações precisam registrar todas as suas operações de tratamento de dados pessoais, ou seja, tudo o que fazem com esses dados, desde a coleta até a exclusão.
- (A) Incorreta: A norma exige que os registros sejam disponibilizados à autoridade competente mediante solicitação, e não que sejam compartilhados proativamente ou que a assinatura digital seja o único método. Essa é a armadilha da banca, pois mistura a ANPD e uma boa prática (assinatura digital) com uma obrigação incorreta de compartilhamento automático.
- (B) Incorreta: Uma política descreve como algo deve ser feito. A norma está sugerindo o que deve ser mantido como registro, não uma política sobre os registros.
- (C) Correta: A norma ABNT NBR ISO/IEC 27701:2019, na subseção 7.2.8, sugere a manutenção de "registros das atividades de tratamento", que na prática se materializam como um inventário ou lista detalhada dessas atividades, contendo informações como finalidade, categorias de dados e destinatários.
- (D) Incorreta: Esta alternativa descreve uma solução tecnológica para armazenar os registros (cloud computing, alta disponibilidade), e não a natureza ou formato do registro em si.
- (E) Incorreta: Semelhante à alternativa D, esta descreve uma solução técnica para o gerenciamento (controle de versão, criptografia, controle de acesso), e não o conteúdo ou a forma básica dos registros que a norma sugere.
Fonte: FCC TRT15 2023 Analista Judiciário - Área Apoio Especializado - Especialidade Tecnologia da Informação (Caderno Tipo 002). Reproduzida para fins de estudo.