Questões de Concurso Público SABESP 2018 para Técnico em Gestão 01 - Informática

o proprietário do ativo é o responsável pela classificação da informação, que é um recurso intangível, com base na análise e avaliação de riscos. Mesmo que a informação seja de baixo valor, seu nível de confidencialidade deve ser rotulado como alto.

o estágio de rotulagem é quando se atribui um nível de classificação a uma informação, fazendo com que a mesma passe a respeitar as proteções associadas ao nível de classificação escolhido. Nem todo ativo de informação deve ser classificado. Esta é uma regra da Norma ABNT NBR ISO/IEC 27001:2013.

não pode haver reclassificação de uma informação, pois isso colocaria em risco sua integridade e confidencialidade. Esta é uma regra da Norma ABNT NBR ISO/IEC 27002:2013.

um documento em papel de uma empresa classificado como Uso Interno deveria ser mantido em um armário trancado, circular internamente em envelopes lacrados e, caso fosse enviado para fora da organização, deveria ser por meios registrados e seguros.

a desclassificação se refere à remoção do nível de proteção da informação. Este estágio somente se aplica quando o estado “não-classificado” estiver previsto. Um exemplo poderia ser um ativo governamental que após alguns anos ou décadas passa a ser automaticamente não-classificado ou tornado público.

os proprietários dos ativos determinem regras apropriadas de controle de acesso, direitos de acesso e restrições para papéis específicos dos usuários acessarem seus ativos, com o nível de detalhe e o rigor dos controles que reflitam os riscos de segurança da informação associados

os proprietários dos ativos sejam os responsáveis por definir a política de controle de acesso da organização, ficando responsáveis pela sua documentação e análise crítica com base nos requisitos de segurança da informação e dos negócios.

a política de controle de acesso da organização seja feita em documentos e por pessoas distintas, cada qual ficando responsável por elaborar os controles de acesso lógico, os controles de acesso físico e os controles operacionais de forma separada, visando mitigar os riscos de segurança da informação.

seja estabelecida a regra “tudo é permitido a menos que expressamente proibido”, que é mais forte que a regra “tudo é proibido a menos que expressamente permitido”.

seja contemplada a regra geral para todos os perfis de acesso “você não tem permissão para acessar nenhuma informação” para que somente o proprietário da informação possa liberar o acesso à informação quando esta for necessária ao desempenho da função.