Questões da Prova CESPE - 2007 - TCU - Analista de Controle Externo - Tecnologia da Informação

Conforme a ISO 17799, é obrigatório o relatório de incidentes de segurança ao ponto de contato designado. Assim, um funcionário de uma organização que realiza operações de alto risco e identifica uma violação de acesso, porém encontra-se sob coação, poderá utilizar-se de um método secreto para indicar esse evento de segurança. Esse método é conhecido como alarme de coação.

A ISO 17799 define diretrizes para certificação de que uma organização está em conformidade à própria norma. Essa certificação é conferida por meio de uma auditoria de terceira parte, nos moldes da ISO 19011.

Os riscos de segurança da informação identificados no âmbito da organização deverão ser analisados quanto às possíveis opções de tratamento: mitigação ou redução; aceitação; eliminação ou contorno; e transferência. Entre as quatro alternativas de tratamento, a que apresenta maior demanda por implantação de controles é a mitigação ou redução. Os riscos aceitos são os de menor nível ou que atendam a critérios de avaliação previamente definidos.

Todo evento de segurança da informação identificado no âmbito da organização corresponderá a uma ou mais violações da política de segurança da informação da organização.

A política corporativa de segurança da informação deverá ser elaborada somente após o estabelecimento das políticas de segurança no desenvolvimento de software e de segurança em operações de TI.