Em fiscalização de conformidade na área de segurança da inf...

Próximas questões
Com base no mesmo assunto
Q4279880
Segurança da Informação Norma ISO 27001 , ISO 27002 ,
Ano: 2026 Banca: FGV Órgão: TCE-PE Prova: FGV - 2026 - TCE-PE - Auditor de Controle Externo – Tecnologia da Informação - REAPLICAÇÃO |
Q4279880 Segurança da Informação
Em fiscalização de conformidade na área de segurança da informação, a equipe de auditoria do TCE-PE examina o sistema de gestão de segurança da informação (SGSI) de uma autarquia estadual, utilizando como critérios as normas ISO/IEC 27001 e ISO/IEC 27002.

Sobre o emprego dessas normas como critérios de auditoria, é correto afirmar que
Alternativas

Gabarito comentado

Confira o gabarito comentado por um dos nossos professores

Gabarito: B

Fundamento decisivo: Como o enunciado trata do uso das normas como critérios de auditoria do SGSI, o critério decisivo é distinguir requisitos de conformidade de orientações para controles; a alternativa B faz essa distinção.

Tema central: Requisitos, controles e certificação
Análise das alternativas
A
Errada
Inverte as funções das normas. Os requisitos do SGSI são estabelecidos pela ISO/IEC 27001; as diretrizes para implementação de controles são fornecidas pela ISO/IEC 27002.
B
Certa
A certificação do SGSI tem como referência os requisitos estabelecidos pela ISO/IEC 27001. A ISO/IEC 27002 oferece diretrizes para implementar controles de segurança da informação: pode orientar essa implementação, mas não é referência para certificar o SGSI. Assim, B distingue corretamente a avaliação de conformidade com requisitos da orientação sobre controles; admitir certificação pela ISO/IEC 27001 não significa que sua adoção obrigue a organização a se certificar.
C
Errada
Confunde certificação do SGSI com implementação indistinta de todos os controles do Anexo A. Os controles necessários são determinados no tratamento de riscos e comparados com esse anexo. É possível excluir controles do Anexo A, desde que a exclusão seja justificada na Declaração de Aplicabilidade, sem omitir controles necessários.
D
Errada
Parte da premissa falsa de que ambas as normas permitem certificar o SGSI. A ISO/IEC 27002 não é norma de certificação; porte e maturidade da organização não alteram essa característica nem tornam as duas normas opções alternativas para certificação.
E
Errada
Cria uma restrição setorial inexistente. A ISO/IEC 27002 pode ser aplicada a organizações públicas ou privadas, independentemente do porte; portanto, a natureza pública da autarquia não impede seu uso.
Pegadinha da questão
A questão explora a troca entre norma de requisitos e norma de orientação, além da confusão entre cumprir os requisitos do SGSI e implementar obrigatoriamente todos os controles do Anexo A. Não ser certificável também não impede a ISO/IEC 27002 de orientar a implementação de controles.
Dica para questões semelhantes
  • Ao avaliar certificação do SGSI, identifique a norma que estabelece requisitos: ISO/IEC 27001. Para orientações de implementação de controles, a referência é a ISO/IEC 27002.
  • Não equipare certificação à adoção integral e automática do Anexo A: verifique os controles necessários e as justificativas de exclusão na Declaração de Aplicabilidade.
  • Não use a natureza pública ou privada da organização para afastar a aplicação da ISO/IEC 27002.

Clique para visualizar este gabarito

Visualize o gabarito desta questão clicando no botão abaixo

Comentários

Veja os comentários dos nossos alunos

Gabarito (B)

A principal diferença entre as normas ISO/IEC 27001 e ISO/IEC 27002 reside em seu foco e aplicação. A ISO/IEC 27001 é uma norma certificável que estabelece os critérios para um SGSI (Sistema de Gestão de Segurança da Informação). Ela inclui requisitos para estabelecer, implementar, manter e aprimorar continuamente um SGSI. Organizações que obtêm a certificação podem demonstrar facilmente às partes interessadas que levam a segurança da informação a sério. 

Por outro lado, a ISO/IEC 27002 não é uma norma certificável, mas sim um documento de orientação abrangente que descreve as melhores práticas para controles de segurança da informação que devem ser considerados no contexto do SGSI (Sistema de Gestão de Segurança da Informação) da organização.

Fonte: https://www.dnv.com/assurance/articles/iso-27001-vs-iso-27002-the-key-differences/

ISO/IEC 27001: É a norma de requisitos auditáveis para a concepção, implementação, operação e melhoria de um Sistema de Gestão de Segurança da Informação (SGSI). É a única norma da família que permite certificação auditável para organizações.

 

ISO/IEC 27002: É um código de práticas e um guia de diretrizes que apoia a implementação dos controles citados de forma simplificada no Anexo A da ISO 27001. Ela não contém requisitos auditáveis e, portanto, não é uma norma certificável. 

  • ISO 27001: estabelece requisitos do SGSI e é certificável.

  • ISO 27002: fornece orientações para implementação dos controles e não é certificável.

  • 27001 = requisitos + certificação

  • 27002 = controles + boas práticas

A organização deve definir critérios de aceitação de riscos. 

SoA (Declaração de Aplicabilidade): Documento que lista os controles do Anexo A que foram selecionados (e justifica as exclusões).

Clique para visualizar este comentário

Visualize os comentários desta questão clicando no botão abaixo

Questões de assuntos semelhantes

Provas relacionadas