Durante uma auditoria de conformidade com a ABNT NBR ISO/IEC 27001:2013 em um hospital, foi identificado que o armazenamento de prontuários na nuvem foi terceirizado, mas não foi realizada uma avaliação formal de riscos nem foram estabelecidas cláusulas contratuais sobre segurança da informação com o provedor. Além disso, nesse processo, os dados estavam sendo transmitidos sem a criptografia adequada.
De forma a estar em conformidade com a norma e mitigar os riscos encontrados, o hospital deverá:

Question

A

encerrar imediatamente o contrato com o provedor de nuvem e migrar os dados para servidores locais da organização;

B

adotar uma política interna de confidencialidade para os colaboradores e selecionar as opções de tratamento dos riscos de segurança da informação;

C

solicitar ao provedor um relatório de conformidade genérico e manter o contrato vigente sem alterações;

D

realizar backup local dos dados e manter a operação em nuvem sem alterações contratuais, desde que haja redundância;

E

formalizar contrato com o provedor contendo cláusulas de segurança, realizar avaliação de riscos e implementar criptografia nos dados em trânsito e em repouso.

Incorreta. Gabarito oficial da banca:

Treine mais com um simulado focado no seu concurso. Criar simulado

teste

Parabéns! Você acertou!

Está mandando bem! Treine mais em um simulado completo. Criar simulado

teste

Qconcursos · Accepted Answer

Alternativa [E] formalizar contrato com o provedor contendo cláusulas de segurança, realizar avaliação de riscos e implementar criptografia nos dados em trânsito e em repouso.  Gabarito: EFundamento decisivo: A decisão dependia de comparar as três falhas descritas no enunciado — falta de avaliação formal de riscos, ausência de cláusulas contratuais de segurança e ausência de criptografia — com a única alternativa que corrige todas elas.Tema central: Gestão de riscos terceirizadosAnálise das alternativasAErradaEstá errada porque propõe encerrar imediatamente o contrato e migrar para servidores locais, mas a norma não impõe abandonar a nuvem para sanar as falhas descritas. O problema do caso é de gestão de riscos e de controles aplicáveis ao fornecedor, não de proibição da terceirização em si.BErradaEstá errada porque uma política interna de confidencialidade e a seleção de opções de tratamento não bastam para o caso. Faltam justamente os pontos centrais exigidos pelo enunciado: avaliação formal de riscos, cláusulas contratuais de segurança com o provedor e proteção criptográfica adequada.CErradaEstá errada porque um relatório genérico de conformidade do provedor não substitui a avaliação de riscos da própria organização nem a formalização contratual de requisitos de segurança. Além disso, manter o contrato sem alterações deixa sem correção as não conformidades expressamente identificadas.DErradaEstá errada porque backup local e redundância tratam, no máximo, aspectos de disponibilidade, mas não resolvem as falhas centrais do caso. Permanecem sem tratamento a ausência de avaliação formal de riscos, a falta de cláusulas contratuais de segurança e a transmissão sem criptografia adequada.ECertaA alternativa E está correta porque corrige as três não conformidades apontadas no caso: prevê avaliação de riscos, formaliza contrato com cláusulas de segurança com o provedor e implementa criptografia dos dados em trânsito e em repouso.Pegadinha da questãoA confusão explorada foi tratar medidas parciais como se resolvessem o caso inteiro: selecionar tratamento sem avaliação prévia, confiar em backup ou redundância, ou aceitar documento genérico do provedor, ignorando que o enunciado exigia simultaneamente correção da gestão de riscos, da relação contratual com o fornecedor e da proteção dos dados.Dica para questões semelhantesQuando o enunciado listar não conformidades específicas, procure a alternativa que corrija todas elas de forma cumulativa, não apenas uma parte.Em terceirização, relatório do fornecedor não substitui a obrigação da própria organização de avaliar riscos e formalizar requisitos de segurança em contrato.Selecionar tratamento de riscos não basta sem avaliação formal prévia.Se o risco concreto descrito envolver transmissão sem proteção adequada, a medida compatível é implementar proteção criptográfica correspondente.

🚀 Mais performance?

🚀 Mais performance?

Durante uma auditoria de conformidade com a ABNT NBR ISO/IEC...

Gabarito comentado

Gabarito: E

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas