Questão 83 — NBR ISO/IEC 27001 — Sistema de Gestão da Segurança da Informação (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação NBR ISO/IEC 27001 — Sistema de Gestão da Segurança da Informação

Cebraspe 2026

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Analista Ambiental – Especialidade: Análise de Redes

Gabarito disponível

Uma organização pública, após decidir pela adoção da norma NBR ISO/IEC 27001:2013, iniciou a implementação de um SGSI. Durante esse processo, a organização buscou estruturar suas ações de modo a garantir que a segurança da informação fosse mantida e aprimorada ao longo do tempo.

Considerando a situação hipotética precedente e as disposições da NBR ISO/IEC 27001:2013, assinale a opção em que é apresentada prática necessária à efetividade do SGSI no caso.

Selecione uma alternativa A) adoção de controles de segurança focados predominantemente no atendimento a exigências formais de auditoria e conformidade B) implementação inicial de controles de segurança, dispensando-se revisões posteriores do SGSI após sua formalização C) centralização das decisões relativas à segurança da informação no âmbito exclusivo da área de tecnologia da informação D) definição de controles de segurança estáveis, mantidos independentemente de mudanças no contexto organizacional E) realização periódica de avaliações e ajustes no SGSI em função de alterações nos riscos e nos objetivos institucionais

Resolução comentada

O SGSI exige avaliação e ajuste periódicos conforme mudanças de riscos e objetivos.

A ISO 27001 se baseia na melhoria contínua: monitoramento, análise crítica, auditoria interna e ajustes do SGSI diante de mudanças nos riscos e no contexto. Por isso a realização periódica de avaliações e ajustes é prática necessária à efetividade.

Análise das alternativas

A) Errada: o foco deve ser o tratamento de riscos e os objetivos da organização, não apenas a conformidade formal. B) Errada: a norma exige análise crítica e melhoria contínua. C) Errada: a segurança envolve toda a organização e a alta direção, não só a TI. D) Errada: controles devem ser revistos conforme mudanças no contexto.

Referência: ABNT NBR ISO/IEC 27001:2013, seções 9 (Avaliação do desempenho) e 10 (Melhoria).

Resolução comentada do VaiConcursos.