Questão 82 — NBR ISO/IEC 27001 — Sistema de Gestão da Segurança da Informação (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação NBR ISO/IEC 27001 — Sistema de Gestão da Segurança da Informação

Cebraspe 2026

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Analista Ambiental – Especialidade: Análise de Redes

Gabarito disponível

Durante a implantação de um sistema de gestão da segurança da informação (SGSI) na secretaria de meio ambiente de certo estado da Federação, a equipe responsável identificou que já existiam controles técnicos de segurança em operação, porém sem diretrizes formais documentadas, sem definição clara de responsabilidades e sem um processo estruturado de análise de riscos. Diante desse cenário, a alta administração solicitou a adoção de práticas que permitissem integrar governança, gestão de riscos e controles de segurança da informação, de forma consistente e alinhada às boas práticas de gestão da segurança da informação.

Nessa situação, de acordo com as disposições da NBR ISO/IEC 27001:2013 relativas à gestão da segurança da informação, a medida prioritária que a secretaria deve adotar para atender à solicitação da alta administração é

Selecione uma alternativa A) definir os controles de segurança da informação adotando uma abordagem puramente reativa, baseada apenas nos incidentes de segurança que já ocorreram na organização. B) delegar a responsabilidade pela segurança da informação exclusivamente às equipes de TI, a fim de não sobrecarregar a alta administração, cujo envolvimento direto poderá ser dispensado. C) estabelecer uma política de segurança aprovada pela alta administração e baseada em análise sistemática de riscos para a seleção coerente de controles organizacionais. D) implantar novos controles técnicos de forma imediata, com foco em tecnologias avançadas, mas sem a devida formalização de políticas ou uma prévia análise de riscos institucionais. E) focar a elaboração de procedimentos operacionais para as áreas técnicas, postergando a definição da política de segurança da informação, que é o documento norteador.

Resolução comentada

A medida prioritária é uma política aprovada pela alta administração, baseada em análise sistemática de riscos.

A norma exige que a alta direção estabeleça a política de SI e que o planejamento inclua processo de avaliação e tratamento de riscos, que fundamenta a seleção coerente de controles. Isso integra governança, gestão de riscos e controles, suprindo as lacunas do cenário (sem diretrizes formais, responsabilidades e análise de riscos).

Análise das alternativas

A) Errada: a abordagem deve ser preventiva, baseada em riscos, e não apenas reativa. B) Errada: a liderança e o comprometimento da alta direção são requisitos da norma. D) Errada: implantar controles sem política e sem análise de riscos contraria a lógica da norma. E) Errada: a política é o documento norteador e não deve ser adiada.

Referência: ABNT NBR ISO/IEC 27001:2013, itens 5.1, 5.2 e 6.1.

Resolução comentada do VaiConcursos.