Questão FC483106
Com base na NBR ISO/IEC 27001, julgue o próximo item, a respeito de gestão de segurança da informação. As organizações devem realizar avaliações ad hoc sobre os riscos de segurança
Gestão da Segurança da Informação
CEBRASPE (CESPE) · 2024
Com base na NBR ISO/IEC 27001, julgue o próximo item, a respeito de gestão de segurança da informação.
As organizações devem realizar avaliações ad hoc sobre os riscos de segurança da informação, independentemente da proposição ou da ocorrência de mudanças significativas.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação está ERRADA porque a NBR ISO/IEC 27001 exige que a avaliação de riscos seja parte de um processo sistemático e documentado, com critérios, responsabilidades e resultados registrados. Não se admite que a gestão de riscos seja feita apenas por avaliações ad hoc e sem ligação à governança do SGSI.
O correto é estabelecer um processo de avaliação de riscos com periodicidade definida e com gatilhos para reavaliação quando houver propostas ou ocorrência de mudanças significativas. Avaliações pontuais podem complementar, mas não substituir o processo planejado.
Em resumo, realizar apenas avaliações ad hoc, independentemente de mudanças, contraria a obrigação de manutenção, monitoramento e melhoria contínua do SGSI prevista na norma.
Conteúdo do catálogo FC Concursos · Atualizado em