Questão de Tecnologia da Informação · FCC TRT19 2022 (nº 38)

A norma ISO/IEC 27001:2013 entende que a segurança da informação é uma questão estratégica, e por isso, a responsabilidade de definir as diretrizes principais (a política) deve vir do nível mais alto da organização.

(A) Incorreta: A Área de Tecnologia da Informação é responsável por implementar e gerenciar os controles de segurança, mas não por estabelecer a política estratégica da organização.
(B) Incorreta: A Área de Qualidade foca na melhoria de processos e conformidade com padrões de qualidade, não sendo a responsável direta pela criação da política de segurança da informação.
(C) Correta: A Alta Direção é explicitamente definida pela ISO/IEC 27001:2013 (cláusula 5.2) como a responsável por estabelecer a política de segurança da informação, garantindo que ela seja apropriada e alinhada aos objetivos estratégicos da organização.
(D) Incorreta: A Gerência de Projetos é responsável por planejar e executar projetos específicos, não por definir a política de segurança que rege toda a organização.
(E) Incorreta: O Chief Information Officer (CIO) é um executivo de TI que lidera a estratégia tecnológica, mas a responsabilidade de estabelecer a política de segurança da informação, conforme a norma, é da Alta Direção como um todo, que representa o nível estratégico máximo da organização. A armadilha aqui é que o CIO está diretamente ligado à informação e tecnologia, mas a norma exige um comprometimento e aprovação do nível mais alto de governança, não apenas do líder de TI.