Questão nº 61
Questão de Tecnologia da Informação · FGV CGE-SP 2025 (nº 61)
Considerando a Gestão de Segurança da Informação e seus processos fundamentais, como a Gestão de Riscos e a Gestão de Identidade e Acesso, bem como sua relação com a Continuidade do Negócio, avalie as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.
( ) Na Gestão de Segurança da Informação (ISO 27001), a definição do escopo do SGSI deve obrigatoriamente levar em conta o contexto da organização (questões internas e externas) e os requisitos das partes interessadas.
( ) Na Gestão de Continuidade do Negócio, o RPO (Recovery Point Objective) define a idade máxima dos dados que devem ser recuperados após um incidente, representando o volume de perda de dados aceitável.
( ) Na Gestão de Identidade e Acesso, o OpenID Connect (OIDC) funciona como uma camada de identidade construída sobre o protocolo OAuth 2.0, adicionando a capacidade de autenticação de usuários e a obtenção de informações básicas de perfil.
As afirmativas são, respectivamente,
- AV – F – F.
- BV – F – V.
- CV – V – V. (alternativa correta)
- DV – V – F.
- EF – V – V.
Resposta comentada
Gabarito Alternativa C
A Gestão de Segurança da Informação visa proteger os ativos de informação de uma organização, enquanto a Gestão de Continuidade do Negócio garante que as operações críticas possam continuar mesmo após interrupções. A Gestão de Identidade e Acesso controla quem pode acessar o quê.
- (A) Incorreta: Esta alternativa não é o gabarito.
- (B) Incorreta: Esta alternativa não é o gabarito.
- (C) Correta:
- A primeira afirmativa está correta porque a norma ISO 27001 (cláusulas 4.1, 4.2 e 4.3) exige que o escopo do SGSI (Sistema de Gestão de Segurança da Informação) seja definido considerando o contexto da organização (questões internas e externas que afetam a segurança) e as necessidades e expectativas das partes interessadas. Isso é fundamental para que o SGSI seja relevante e eficaz.
- A segunda afirmativa está correta porque o RPO (Recovery Point Objective), na Gestão de Continuidade do Negócio, é a métrica que define a quantidade máxima de dados que uma organização pode se dar ao luxo de perder após um incidente. Ele indica o ponto no tempo para o qual os dados devem ser recuperados, ou seja, a idade máxima aceitável dos dados.
- A terceira afirmativa está correta porque o OpenID Connect (OIDC) é, de fato, uma camada de identidade construída sobre o framework de autorização OAuth 2.0. Ele permite que clientes verifiquem a identidade do usuário final (autenticação) e obtenham informações básicas de perfil de forma interoperável e segura.
- (D) Incorreta: Esta alternativa não é o gabarito.
- (E) Incorreta: Esta alternativa não é o gabarito.
Fonte: FGV CGE-SP 2025 Auditor Estadual de Controle - Tecnologia da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.