Questão de Tecnologia da Informação · FGV TCE-ES 2022 (nº 76)

O Sistema de Gestão da Segurança da Informação (SGSI) é um conjunto de políticas, processos e controles para gerenciar a segurança da informação de uma organização, seguindo padrões como a ISO 27001. A comunicação eficaz é vital para que todos entendam e sigam as regras de segurança.

(A) Correta: A seção 7 da NBR ISO/IEC 27001:2013, intitulada "Apoio", detalha os recursos necessários para o SGSI. Dentro dela, a cláusula 7.4 "Comunicação" exige que a organização determine o que, quando, com quem, como e quem deve comunicar as informações relevantes para o SGSI, abrangendo tanto as comunicações internas quanto as externas.

(B) Incorreta: A seção 5 "Liderança" foca no comprometimento da alta direção, na política de segurança e nas responsabilidades, não na determinação específica dos tipos de comunicação.

(C) Incorreta: A seção 8 "Operação" trata da execução dos processos e controles de segurança da informação, não da determinação inicial dos requisitos de comunicação.

(D) Incorreta: A seção 6 "Planejamento" aborda a identificação de riscos e oportunidades e o estabelecimento de objetivos de segurança, o que pode envolver planejar o que comunicar, mas a determinação dos tipos e meios de comunicação em si é tratada na seção de Apoio.

(E) Incorreta: A seção 4 "Contexto da organização" define as questões internas e externas e as partes interessadas, que são a base para entender por que e com quem comunicar. No entanto, a determinação dos requisitos e processos de comunicação é especificada na seção de Apoio. A armadilha aqui é que o contexto é fundamental para a comunicação, mas a norma exige que a determinação formal das comunicações seja feita na seção de Apoio.