Questão FC483090
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos
Gestão da Segurança da Informação
CEBRASPE (CESPE) · 2025
Certa empresa brasileira de médio porte, que desenvolve soluções de software para o setor financeiro e armazena informações sensíveis de clientes, como dados bancários, documentos pessoais e credenciais de acesso, iniciou um processo de adequação à norma ISO/IEC 27001:2022, implementando um sistema de gestão da segurança da informação (SGSI). A equipe de segurança da empresa criou políticas para garantir confidencialidade, integridade, disponibilidade e autenticidade das informações e adotou criptografia assimétrica, controle de acesso baseado em função, eo NIST Cybersecurity Framework para resposta a incidentes. Foram identificadas vulnerabilidades de injeção SQL e a empresa sofreu um ataque DDoS que afetou a disponibilidade do sistema.
Com base na situação precedente, julgue o item a seguir.
Na implementação da ISO/IEC 27001:2022, a empresa em questão pode optar por não realizar avaliação de riscos, desde que adote integralmente todos os controles sugeridos pela norma ISO/IEC 27002:2022, pois o cumprimento completo dos controles é suficiente para demonstrar conformidade com a norma principal.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação está errada porque a avaliação de riscos é um requisito mandatório da ISO/IEC 27001:2022 (cláusula 6.1.2) para qualquer SGSI. A norma exige identificar, analisar e avaliar riscos para decidir quais medidas aplicar, como tratá‑los e quais riscos aceitar.
O Anexo A e a ISO/IEC 27002 são referências de controles, não substituem o processo de risco. Implementar todos os controles sem avaliação é inadequado e pode ser ineficiente, deixar riscos específicos sem tratamento e não documentar justificativas.
A organização deve registrar as escolhas de controle e exclusões na Declaração de Aplicabilidade (SoA), demonstrando correlação com a avaliação de riscos. Omitir a avaliação configura não conformidade e tende a impedir a certificação.
Conteúdo do catálogo FC Concursos · Atualizado em