Uma organização de grande porte, com unidades
distribuídas em diferentes regiões, decidiu revisar sua
Política de Segurança da Informação após identificar
inconsistências internas: ausência de critérios formais
para classificação de dados, indefinição sobre
responsabilidades quanto ao uso de credenciais
privilegiadas e mistura, no mesmo documento, de
diretrizes estratégicas com instruções técnicas
detalhadas de configuração de sistemas. Durante as
discussões, surgiram divergências entre a equipe técnica
e a gestão executiva acerca do escopo adequado da
política e de sua relação com normas complementares e
procedimentos operacionais. À luz das boas práticas em
segurança da informação, assinale a alternativa
CORRETA.

Question

Uma organização de grande porte, com unidades
distribuídas em diferentes regiões, decidiu revisar sua
Política de Segurança da Informação após identificar
inconsistências internas: ausência de critérios formais
para classificação de dados, indefinição sobre
responsabilidades quanto ao uso de credenciais
privilegiadas e mistura, no mesmo documento, de
diretrizes estratégicas com instruções técnicas
detalhadas de configuração de sistemas. Durante as
discussões, surgiram divergências entre a equipe técnica
 e a gestão executiva acerca do escopo adequado da
política e de sua relação com normas complementares e
procedimentos operacionais. À luz das boas práticas em
segurança da informação, assinale a alternativa
CORRETA. Alternativa A: A política institucional pode prescindir de aprovação
formal da alta administração, desde que os controles
técnicos estejam devidamente implementados. Ou Alternativa B: A revisão periódica da política é facultativa, pois sua
estabilidade normativa contribui para a previsibilidade
organizacional. Ou Alternativa C: A Política de Segurança deve detalhar tecnicamente
todos os procedimentos operacionais de
configuração de firewall, antivírus e backups, de
modo a evitar interpretações divergentes pelas
equipes técnicas. Ou Alternativa D: A classificação da informação, quando prevista em
política institucional, tende a orientar a definição de
controles proporcionais ao nível de sensibilidade dos
dados tratados.  Ou Alternativa E: A responsabilidade pela segurança da informação
restringe-se à área de TI, visto que os controles
tecnológicos concentram os principais mecanismos
de proteção.

Qconcursos · Accepted Answer

Alternativa [D] A classificação da informação, quando prevista em
política institucional, tende a orientar a definição de
controles proporcionais ao nível de sensibilidade dos
dados tratados.  Gabarito: DFundamento decisivo: O ponto decisivo foi a presença da classificação da informação no contexto da PSI, em contraste com as demais alternativas que confundem política com procedimento, dispensam governança formal ou restringem a segurança à TI.Tema central: Classificação da informação e escopo da PSIAnálise das alternativasAErradaEstá errada porque a implementação de controles técnicos não substitui a governança formal da política. A PSI institucional precisa de aprovação formal da alta administração para ter legitimidade, autoridade e alinhamento organizacional.BErradaEstá errada porque trata a revisão periódica como facultativa. Pelas boas práticas, a política deve ser revista regularmente e também quando houver mudanças relevantes no ambiente, nos riscos ou na estrutura organizacional.CErradaEstá errada porque confunde política com procedimento técnico. A PSI é documento de diretrizes gerais, princípios e responsabilidades; configurações detalhadas de firewall, antivírus e backup pertencem a normas, padrões ou procedimentos complementares.DCertaA alternativa D está correta porque, nas boas práticas de segurança da informação, a classificação da informação serve para identificar o nível de sensibilidade ou criticidade dos dados e orientar a adoção de controles compatíveis com cada classe. Esse é justamente o papel técnico-organizacional da classificação dentro da política institucional: permitir tratamento proporcional da informação.EErradaEstá errada porque restringe a segurança da informação à área de TI. A responsabilidade é organizacional e compartilhada entre gestão, TI, áreas de negócio e usuários, ainda que parte dos controles seja tecnológica.Pegadinha da questãoA confusão real foi misturar governança da segurança com execução técnica: tratar a PSI como manual operacional, supor que controles técnicos dispensam aprovação formal e reduzir a responsabilidade pela segurança à TI.Dica para questões semelhantesSe a alternativa atribuir à PSI detalhamento operacional de configuração, elimine: isso pertence a normas, padrões ou procedimentos.Se a alternativa dispensar aprovação da alta direção ou revisão periódica, ela contraria a governança básica da política.Quando aparecer classificação da informação, verifique se ela está ligada à definição de controles proporcionais à sensibilidade dos dados.Segurança da informação deve ser lida como responsabilidade institucional compartilhada, não exclusiva da área técnica.

🚀 Mais performance?

🚀 Mais performance?

Uma organização de grande porte, com unidades distribuídas ...

Gabarito comentado

Gabarito: D

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas