Gabarito disponível
Texto-base:
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos pessoais e credenciais de acesso, iniciou um processo de adequação à norma ISO/IEC 27001:2022, implementando um sistema de gestão da segurança da informação (SGSI). A equipe de segurança da empresa criou políticas para garantir confidencialidade, integridade, disponibilidade e autenticidade das informações e adotou criptografia assimétrica, controle de acesso baseado em função, e o NIST Cybersecurity Framework para resposta a incidentes. Foram identificadas vulnerabilidades de injeção SQL e a empresa sofreu um ataque DDoS que afetou a disponibilidade do sistema.
Com base na situação precedente, julgue os itens a seguir.
Na implementação da ISO/IEC 27001:2022, a empresa em questão pode optar por não realizar avaliação de riscos, desde que adote integralmente todos os controles sugeridos pela norma ISO/IEC 27002:2022, pois o cumprimento completo dos controles é suficiente para demonstrar conformidade com a norma principal.
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos pessoais e credenciais de acesso, iniciou um processo de adequação à norma ISO/IEC 27001:2022, implementando um sistema de gestão da segurança da informação (SGSI). A equipe de segurança da empresa criou políticas para garantir confidencialidade, integridade, disponibilidade e autenticidade das informações e adotou criptografia assimétrica, controle de acesso baseado em função, e o NIST Cybersecurity Framework para resposta a incidentes. Foram identificadas vulnerabilidades de injeção SQL e a empresa sofreu um ataque DDoS que afetou a disponibilidade do sistema.
Com base na situação precedente, julgue os itens a seguir.
Na implementação da ISO/IEC 27001:2022, a empresa em questão pode optar por não realizar avaliação de riscos, desde que adote integralmente todos os controles sugeridos pela norma ISO/IEC 27002:2022, pois o cumprimento completo dos controles é suficiente para demonstrar conformidade com a norma principal.
Resolução comentada
A ISO/IEC 27001 exige avaliação de riscos; adotar todos os controles da 27002 não a dispensa.
A ISO/IEC 27001 exige um processo de avaliação e tratamento de riscos (cláusula 6.1.2 e 6.1.3). Os controles são escolhidos a partir desse processo, e o Anexo A só serve para comparação e para a declaração de aplicabilidade. A 27002 é um guia de boas práticas e não substitui a avaliação de riscos. Adotar todos os controles, portanto, não dispensa a avaliação e não demonstra conformidade por si só.
Análise das alternativas
Certo: errada, pois a avaliação de riscos é requisito obrigatório do SGSI. Errado: correta, pelas razões acima.
Referência: ABNT NBR ISO/IEC 27001:2022, cláusula 6.1; ISO/IEC 27002:2022.
Resolução comentada do VaiConcursos.