Questão de Segurança da Informação · FCC TRT15 2023 (nº 27)

A ISO/IEC 27001 é uma norma internacional que estabelece os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI), ajudando as organizações a protegerem seus dados e informações. Ela lista diversos controles de segurança (medidas e práticas) que podem ser implementados para gerenciar riscos.

• (A) Incorreta: Embora papéis e responsabilidades devam ser definidos (controle A.5.2 da ISO 27001:2022), a alocação não deve ser "de acordo com os interesses dos setores operacionais". A definição e alocação devem ser baseadas na análise de risco, nos objetivos de segurança da organização e na necessidade de garantir a proteção da informação, e não apenas nos interesses departamentais, que podem ser conflitantes com a segurança. Esta é a armadilha: a primeira parte da frase é verdadeira, mas a condição final a torna incorreta.
• (B) Correta: Este é um princípio fundamental de segurança conhecido como Segregação de Funções (SoD), explicitamente referenciado na ISO 27001:2022 como controle A.5.3. Ele visa reduzir o risco de fraude, erro ou uso não autorizado de informações ao garantir que nenhuma pessoa sozinha tenha controle total sobre um processo crítico ou ativo de informação.
• (C) Incorreta: As medidas de segurança da informação devem ser implementadas para proteger os ativos e informações independentemente do local onde o trabalho é realizado (presencial, remoto, híbrido). A segurança da informação transcende barreiras físicas.
• (D) Incorreta: Ativos de informação fora das instalações físicas da organização (como laptops, dispositivos móveis, dados em nuvem) precisam ser protegidos tanto quanto, ou até mais, do que os ativos internos, devido aos riscos adicionais de perda ou roubo. A ISO 27001 aborda a segurança de dispositivos móveis e teletrabalho (A.8.13, A.8.14).
• (E) Incorreta: A separação de ambientes de desenvolvimento, testes e produção é uma prática de segurança essencial, recomendada pela ISO 27001:2022 (controle A.8.29). Isso impede que erros ou vulnerabilidades introduzidas em desenvolvimento ou teste afetem os sistemas em produção, garantindo a integridade e disponibilidade dos serviços.