Questão 61 — NBR ISO/IEC 27001 e 27002 (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação NBR ISO/IEC 27001 e 27002

Cebraspe 2026 Superior

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Técnico de Nível Superior – Especialidade: Análise de Redes

Gabarito disponível

Uma autarquia federal decidiu alinhar suas práticas de segurança da informação às normas internacionais, adotando controles técnicos e administrativos descritos em uma norma de referência, sem, contudo, instituir formalmente um sistema de gestão da segurança da informação (SGSI).
Com base na situação hipotética precedente e nas normas NBR ISO/IEC 27001 e 27002, é correto afirmar que a decisão da autarquia caracteriza

Selecione uma alternativa A) implementação exclusiva de requisitos legais, sem relação com boas práticas internacionais. B) implementação parcial da ISO 27001, com possibilidade imediata de certificação. C) adoção de um framework de controles, conforme a ISO 27002, sem gestão sistêmica. D) inconformidade com ambas as normas, por ausência de auditoria externa. E) atendimento integral às exigências de governança da segurança da informação de ambas as normas.

Resolução comentada

Adotar controles da ISO 27002 sem instituir SGSI é usar um framework de controles, sem gestão sistêmica.

A ISO 27002 é um guia de boas práticas com um catálogo de controles e pode ser usada isoladamente. A ISO 27001 traz os requisitos do SGSI e é a norma certificável. Adotar controles sem instituir o SGSI é, portanto, aplicar a 27002 como framework, sem gestão sistêmica.

Análise das alternativas

A) São boas práticas internacionais, não apenas requisitos legais. B) Sem SGSI não há conformidade com a 27001 nem certificação imediata. D) A ausência de auditoria externa não gera inconformidade com a 27002, que não exige certificação. E) Sem SGSI, a 27001 não é atendida integralmente.

Referência: ABNT NBR ISO/IEC 27001 e 27002:2022

Resolução comentada do VaiConcursos.