Questão de Tecnologia da Informação · FGV TCE-PA 2024 (nº 73)

O Sistema de Gestão de Segurança da Informação (SGSI) é um conjunto de políticas, processos e procedimentos para gerenciar a segurança da informação de uma organização. A NBR ISO/IEC 27003 orienta sobre como implementar este sistema, e uma etapa crucial é entender o que precisa ser protegido e quais regras se aplicam.

• A) Incorreta: A aprovação da direção é um passo inicial, que antecede a fase de análise detalhada dos requisitos.
• B) Incorreta: A política de segurança da informação é um documento de alto nível que estabelece as diretrizes gerais, mas sua elaboração ou refinamento ocorre após a compreensão dos ativos e dos requisitos mais específicos.
• C) Incorreta: O plano final de ação é um resultado de todo o planejamento, incluindo a análise de requisitos, avaliação de riscos e seleção de controles, vindo bem depois da fase de análise de requisitos.
• (D) Correta: Para analisar os requisitos de segurança da informação (o que precisa ser protegido e como), é fundamental primeiro identificar quais são os ativos de informação da organização (dados, sistemas, equipamentos, etc.) que precisam de proteção. Sem saber o que proteger, não é possível definir os requisitos de segurança.
• E) Incorreta: O plano de tratamento de risco é elaborado após a avaliação de riscos, que por sua vez, é feita após a identificação dos ativos e a análise dos requisitos de segurança.