Questão FC483100
Acerca dos controles CIS e das previsões das normas NBR ISO/IEC 27001 e 27002, julgue o item a seguir. A NBR ISO/IEC 27001 recomenda que, quando os objetivos de segurança da inform
Gestão da Segurança da Informação
CEBRASPE (CESPE) · 2024
Acerca dos controles CIS e das previsões das normas NBR ISO/IEC 27001 e 27002, julgue o item a seguir.
A NBR ISO/IEC 27001 recomenda que, quando os objetivos de segurança da informação não forem mensuráveis, leve-se em conta apenas os resultados da avaliação e do tratamento de riscos.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação está errada porque distorce o que a NBR ISO/IEC 27001 determina sobre objetivos de segurança da informação.
A Norma exige que os objetivos sejam mensuráveis (se praticável) e não diz que, quando não mensuráveis, deve-se considerar apenas os resultados da avaliação e do tratamento de riscos.
Além de levar em conta os resultados da avaliação e tratamento de riscos, os objetivos devem ser consistentes com a política de segurança, monitorados, comunicados, atualizados conforme necessário e disponibilizados como informação documentada. Ou seja, há múltiplos requisitos complementares além da avaliação de riscos.
Portanto, afirmar que só se deve considerar os resultados da avaliação e tratamento de riscos quando não há mensurabilidade é incorreto.
Conteúdo do catálogo FC Concursos · Atualizado em