Questão 81 — NBR ISO/IEC 27001 — Sistema de Gestão da Segurança da Informação (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação NBR ISO/IEC 27001 — Sistema de Gestão da Segurança da Informação

Cebraspe 2026

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Analista Ambiental – Especialidade: Análise de Redes

Gabarito disponível

Uma organização pública avalia a adoção da ABNT NBR ISO/IEC 27001 como referência para estruturar a gestão da segurança da informação, com o intuito de proteger seus ativos informacionais, apoiar seus objetivos institucionais e tratar adequadamente os riscos associados ao uso da informação. No diagnóstico preliminar, verificou-se que existem iniciativas pontuais de segurança, porém sem integração formal entre políticas, processos e responsabilidades organizacionais.

Na situação hipotética precedente, a escolha pela adoção da NBR ISO/IEC 27001:2013 seria benéfica para a organização em questão, considerando-se que tal norma

Selecione uma alternativa A) estabelece um modelo de gestão baseado em política formal, liderança da alta administração e abordagem sistemática e preventiva de gestão de riscos no contexto da segurança da informação. B) orienta a implementação de controles de segurança apenas como resposta a incidentes já ocorridos, priorizando uma abordagem corretiva e reativa. C) restringe a responsabilidade pela segurança da informação às áreas de TI, concentrando a tomada de decisão em equipes com especialização técnica. D) prioriza exclusivamente a implementação de controles técnicos de segurança, como firewalls e antivírus, reduzindo a necessidade de controles administrativos. E) define um conjunto fixo e obrigatório de controles de segurança que devem ser aplicados de forma uniforme, independentemente do contexto e dos riscos da organização.

Resolução comentada

A 27001 oferece modelo de gestão com política, liderança da alta direção e gestão de riscos sistemática e preventiva.

O cenário mostra iniciativas pontuais, sem integração. A 27001 resolve isso ao estabelecer um sistema de gestão com política formal, comprometimento da liderança, papéis e responsabilidades definidos e processo sistemático de avaliação e tratamento de riscos, de caráter preventivo.

Análise das alternativas

B) Errada: a abordagem é preventiva e baseada em riscos, não apenas corretiva. C) Errada: a responsabilidade envolve toda a organização e a alta direção. D) Errada: abrange controles organizacionais, de pessoas, físicos e tecnológicos. E) Errada: os controles são selecionados conforme os riscos e o contexto; não há conjunto fixo uniforme.

Referência: ABNT NBR ISO/IEC 27001:2013, seções 4 a 6.

Resolução comentada do VaiConcursos.