Questões de Segurança da Informação e Gestão de Riscos

A afirmativa está correta pois a norma ABNT NBR ISO/IEC 27001, referência básica para o Cebraspe, estabelece que a Política de Segurança da Informação deve alinhar-se aos requisitos legais, regulatórios, contratuais e às boas práticas de mercado para garantir a conformidade e a governança organizacional.

A afirmativa está incorreta porque a norma NBR ISO/IEC 27001 exige a formalização das responsabilidades de segurança na Política de Segurança da Informação (POSIN). A versão correta é que as competências e responsabilidades devem constar explicitamente na POSIN para assegurar o comprometimento e a conformidade de todos os colaboradores.

A afirmativa baseia-se na norma NBR ISO/IEC 27002, que recomenda que barreiras físicas, como portas corta-fogo, sejam integradas ao sistema de controle e monitoramento, devendo ser testadas em conjunto com as estruturas para garantir a integridade da resistência ao fogo do perímetro.

A afirmativa está correta pois segue o princípio do Privilégio Mínimo e a necessidade de controle de ciclo de vida de contas, conforme a norma NBR ISO/IEC 27002, que recomenda a revisão periódica e a revogação de acessos privilegiados para mitigar riscos de segurança.

A afirmativa está errada pois a norma ISO/IEC 27002 recomenda a criptografia como controle obrigatório para proteger dados em mídias móveis contra acesso não autorizado. O lacre e o rastreamento garantem a integridade física e o controle logístico, mas não protegem a confidencialidade da informação caso a mídia seja extraviada ou acessada indevidamente.

A afirmativa está incorreta porque o DevSecOps preconiza a automação da segurança em todas as fases, incluindo a implementação, onde ferramentas de análise estática (SAST) e dinâmica (DAST) são indispensáveis para garantir a qualidade. O correto seria afirmar que a fase de implementação utiliza soluções automatizadas de análise de código e testes de vulnerabilidades.