Questões de Fundação Carlos Chagas - Tecnologia da Informação - Gestão de segurança da informação - ISO 27001

independentes da política de segurança da informação.

mantidos em segredo pela alta direção da organização.

fixos e imutáveis para possibilitar a avaliação de desempenho.

distintos ao plano de negócio da organização.

elaborados considerando os tratamentos de riscos.

Selecionar, de forma apropriada, as opções de tratamento dos riscos de segurança da informação, levando em consideração os resultados da avaliação do risco.

Determinar quais os controles e objetivos de controle definidos pela Norma serão utilizados, sem a inclusão de controles adicionais não listados, como recomendado.

Elaborar, cautelosamente, uma declaração de aplicabilidade que contenha os controles necessários e sua justificativa, já que a Norma recomenda que não haja exclusão de controles.

Preparar um plano para tratamento dos riscos residuais de segurança da informação, obtendo a aprovação da alta gerência e dos técnicos de TI.

Não reter a informação documentada relativa ao processo de tratamento dos riscos de segurança da informação no Tribunal, já que a Norma recomenda que este documento possa ser ajustado pelos stakeholders e seja público.

A D P C

C A P D

D P C A

P A D C

P D C A

medir a eficácia dos controles para verificar que os requisitos de segurança da informação foram atendidos.

aplicar as lições aprendidas de experiências de segurança da informação de outras organizações.

definir e medir a eficácia dos controles ou grupos de controle selecionados.

especificar a forma de medir a eficácia dos controles de modo a produzir resultados comparáveis.

avaliar a probabilidade real de ocorrência de falhas de segurança à luz de ameaças e vulnerabilidades prevalecentes.

As áreas seguras devem ser protegidas por controles apropriados de entrada para assegurar que somente pessoas autorizadas tenham acesso.

Devem ser utilizados perímetros de segurança para proteger as áreas que contenham informações e recursos de processamento da informação.

Pontos de acesso em que pessoas não autorizadas possam entrar nas instalações devem sempre ser isolados dos recursos de processamento da informação.

Deve ser projetada e aplicada proteção física contra incêndios, enchentes, terremotos, explosões, perturbações da ordem pública e outras formas de desastres naturais ou causados pelo homem.

Deve ser projetada e aplicada proteção física, bem como diretrizes para o trabalho em áreas seguras.