Questão FC890696
Durante uma auditoria de conformidade com a ABNT NBR ISO/IEC 27001:2013 em um hospital, foi identificado que o armazenamento de prontuários na nuvem foi terceirizado, mas não foi r
Gestão da Segurança da Informação
FGV · 2026
Durante uma auditoria de conformidade com a ABNT NBR ISO/IEC 27001:2013 em um hospital, foi identificado que o armazenamento de prontuários na nuvem foi terceirizado, mas não foi realizada uma avaliação formal de riscos nem foram estabelecidas cláusulas contratuais sobre segurança da informação com o provedor. Além disso, nesse processo, os dados estavam sendo transmitidos sem a criptografia adequada.
De forma a estar em conformidade com a norma e mitigar os riscos encontrados, o hospital deverá:
- encerrar imediatamente o contrato com o provedor de nuvem e migrar os dados para servidores locais da organização;
- adotar uma política interna de confidencialidade para os colaboradores e selecionar as opções de tratamento dos riscos de segurança da informação;
- solicitar ao provedor um relatório de conformidade genérico e manter o contrato vigente sem alterações;
- realizar backup local dos dados e manter a operação em nuvem sem alterações contratuais, desde que haja redundância;
- formalizar contrato com o provedor contendo cláusulas de segurança, realizar avaliação de riscos e implementar criptografia nos dados em trânsito e em repouso.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A alternativa E está correta porque atende aos requisitos da ISO/IEC 27001:2013 para tratamento de riscos e gestão de fornecedores.
É necessário formalizar contrato com cláusulas de segurança que definam responsabilidades, níveis de serviço, controle de acesso, auditoria e regras sobre subcontratação e transferência de dados.
Também é obrigatório realizar uma avaliação de riscos específica para o ambiente em nuvem, identificar tratamentos e registrar decisões conforme o processo de risco da norma.
Por fim, implementar criptografia para dados em trânsito e dados em repouso reduz a probabilidade de exposição de prontuários e atende aos controles de criptografia e proteção de comunicações da norma.
Conteúdo do catálogo FC Concursos · Atualizado em