Questão nº 76
Questão de Tecnologia da Informação · FGV MP-SC 2022 (nº 76)
Para tratar os riscos da segurança da informação, uma organização deve definir e aplicar um processo contendo controles sobre seus ativos de informação. Nesse sentido, para assegurar que a informação receba um nível adequado de proteção, de acordo com a sua importância para a organização, deve-se implementar o(a):
- Acontrole de acesso;
- Bclassificação da informação; (alternativa correta)
- Cresponsabilidade pelos ativos;
- Dgerenciamento de acesso do usuário;
- Econformidade com requisitos legais e contratuais.
Resposta comentada
Gabarito Alternativa B
Classificação da informação é o processo de categorizar os dados de acordo com seu grau de sensibilidade e impacto para o negócio (ex.: público, interno, confidencial, secreto). É a partir dessa etiqueta que a organização decide qual nível de proteção cada ativo precisa, definindo regras de acesso, armazenamento e descarte.
- (A) Incorreta: Controle de acesso é uma consequência da classificação; sem saber o quão sensível é o dado, você não sabe quem pode vê-lo. A banca tenta te atrair com a primeira medida que vem à mente, mas ela é posterior à classificação.
- (B) Correta: É o fundamento do ciclo de proteção: a classificação define o nível adequado de proteção conforme a importância do ativo, exatamente como o enunciado pede. É o primeiro passo lógico antes de qualquer controle técnico ou físico.
- (C) Incorreta: Responsabilidade pelos ativos (inventário e dono do ativo) identifica quem é o responsável, mas não define quanto proteger. É um passo anterior e complementar, não o que assegura o nível de proteção.
- (D) Incorreta: Gerenciamento de acesso do usuário é uma operação prática (criar, alterar, revogar logins) que depende da classificação para saber quais permissões dar. É uma ferramenta, não a política de proteção.
- (E) Incorreta: Conformidade legal trata de atender leis e contratos (ex.: LGPD), mas a classificação vai além disso, cobrindo também segredos comerciais e dados internos que não têm obrigação legal específica. A pegadinha aqui é confundir "requisitos externos" com "importância para a organização".
Fonte: FGV MP-SC 2022 Analista em Tecnologia da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.