Acerca dos controles CIS e das previsões das normas NBR ISO/IEC 27001 e 27002, julgue o item a seguir. Nos controles CIS, uma organização do grupo de implementação IG2 necessariame

Gabarito

Errado

Comentário do professor

A afirmação foi julgada ERRADA porque confunde o escopo dos grupos de implementação dos CIS Controls. O enunciado diz que o IG2 necessariamente incorpora ativos com informações confidenciais sujeitas a supervisão regulatória, o que não é verdade.

Os Implementation Groups são orientações baseadas em risco e recursos, com conjuntos cumulativos de Safeguards. O IG1 trata de higiene cibernética essencial. O IG2 adiciona salvaguardas para ambientes mais complexos e pode incluir dados sensíveis em alguns casos, mas não exige, por definição, que os ativos sejam regulados.

Já o IG3 é o grupo caracterizado por organizações que, em regra, gerenciam ativos e dados confidenciais sujeitos a requisitos regulatórios e de conformidade. Portanto a assertiva erra ao atribuir essa exigência ao IG2 em vez do IG3.