Questão nº 47
Questão de Tecnologia da Informação · FCC TRT24 2016 (nº 47)
A norma ABNT NBR ISO/IEC 27004:2010 recomenda que se estabeleça e gerencie um Programa de Medição de Segurança da Informação − PMSI a fim de alcançar os objetivos de medição estabelecidos e adotar o modelo PDCA nas atividades de medição globais da organização. A Norma recomenda que o PMSI inclua os processos de
- ADefinição da Estratégia de medição, Projeto da medição, Operação da Medição e Melhoria Contínua do PMSI.
- BDesenvolvimento de medidas e medição, Operação da medição, Relato dos resultados da análise de dados e da medição e Avaliação e melhoria do PMSI. (alternativa correta)
- CPlanejamento da medição, Execução da medição, Avaliação do PMSI e Ajuste no PMSI.
- DDefinição do escopo da medição, Levantamento de requisitos de medição, Execução da medição e Análise dos resultados da medição.
- EPlanejamento da medição, Operação da medição, Verificação da Medição e Relato dos resultados para a alta gestão.
Resposta comentada
Gabarito Alternativa B
A norma ABNT NBR ISO/IEC 27004:2010 é um guia para medir a segurança da informação, ajudando as organizações a entenderem se suas defesas estão funcionando bem. Ela recomenda um Programa de Medição de Segurança da Informação (PMSI) que segue um ciclo de melhoria contínua, o PDCA (Planejar, Fazer, Checar, Agir), para garantir que as medições sejam eficazes e úteis.
(A) Incorreta: Esta alternativa descreve etapas que são parte do processo de desenvolvimento, mas não os nomes dos processos globais recomendados pela norma. Faltam o processo de análise e relato dos resultados de forma explícita.
(B) Correta: Esta alternativa lista os quatro processos principais que a ABNT NBR ISO/IEC 27004:2010 recomenda para um Programa de Medição de Segurança da Informação (PMSI): 1) Desenvolvimento de medidas e medição (definir o que e como medir), 2) Operação da medição (coletar os dados), 3) Relato dos resultados da análise de dados e da medição (interpretar e comunicar os achados) e 4) Avaliação e melhoria do PMSI (revisar e aprimorar o próprio programa de medição).
(C) Incorreta: As etapas são muito genéricas ("Planejamento", "Execução") e não refletem os nomes específicos dos processos da norma, além de não incluir explicitamente o desenvolvimento das medidas ou o relato dos resultados.
(D) Incorreta: Esta alternativa foca em atividades que são sub-etapas do processo de desenvolvimento da medição ("Definição do escopo", "Levantamento de requisitos") e omite o processo de relato dos resultados, que é crucial.
(E) Incorreta: Embora "Operação da medição" e "Relato dos resultados" (mesmo que com foco na alta gestão) estejam presentes, "Planejamento da medição" e "Verificação da Medição" são termos menos precisos e abrangentes do que os processos definidos pela norma. O distrator mais tentador aqui é a alternativa (A), pois "Definição da Estratégia de medição" e "Projeto da medição" soam como passos lógicos e iniciais, mas a armadilha é que a norma especifica um processo mais abrangente chamado "Desenvolvimento de medidas e medição" e exige um processo explícito de "Relato dos resultados", que a alternativa (A) não menciona de forma completa.
Fonte: FCC TRT24 2016 Analista Judiciário - Área Apoio Especializado - Especialidade Tecnologia da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.