FC ConcursosFC Concursos

Questão FC546502

Uma instituição financeira está revisando seus contratos com fornecedores de nuvem (cloud providers) para garantir conformidade com as normas de segurança da informação. Durante es

Sem classificação

FURB · 2025

Uma instituição financeira está revisando seus contratos com fornecedores de nuvem (cloud providers) para garantir conformidade com as normas de segurança da informação. Durante esse processo, a equipe de GRC (Governança, Risco e Compliance) identificou a necessidade de:

 
  • Formalizar requisitos de segurança em

contratos.

 
  • Avaliar riscos específicos de terceirização.
  • Implementar monitoramento contínuo.
 

Com base na NBR ISO/IEC 27001:2022 e 27002:2022, considere as seguintes afirmações a seguir:

 

I.O controle A.5.23 (Segurança da informação para uso de serviços em nuvem) da NBR ISO/IEC 27002:2022 fornece diretrizes para mitigar riscos associados a fornecedores, incluindo avaliação de controles de segurança antes da contratação.

 

II.A avaliação de fornecedores pode considerar certificações independentes (ex: NBR ISO/IEC 27001 ou SOC 2) como evidência de

conformidade com requisitos de segurança.

 

III.A NBR ISO/IEC 27001:2022, por meio do controle A.5.22 (Gestão de segurança da informação nas relações com fornecedores), exige formalmente que contratos com fornecedores incluam cláusulas específicas sobre segurança da informação, especificações no uso de criptografia nos dados em repouso, e métodos de autenticação e autorização.

 

É correto o que se afirma em:

  1. I e II, apenas.
  2. I, apenas.
  3. I, II e III.
  4. II e III, apenas.
  5. III, apenas.
Mostrar resposta e comentário

Gabarito

A

Comentário do professor

A.5.23 da NBR ISO/IEC 27002:2022 trata especificamente de segurança da informação para uso de serviços em nuvem. O controle orienta a identificação e mitigação de riscos inerentes ao uso de provedores de nuvem, incluindo a necessidade de avaliar controles de segurança antes da contratação e adotar medidas de governança, responsabilidades e segregação de funções.

Além disso, na avaliação de fornecedores é aceitável considerar certificações independentes (por exemplo, NBR ISO/IEC 27001 ou SOC 2) como evidência de que controles foram avaliados por terceiros competentes. Essas certificações contribuem como prova objetiva, embora devam ser complementadas por análise de escopo, requisitos contratuais e monitoramento contínuo.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo