Uma política de segurança é um instrumento importante para proteger a organização contra ameaças à segurança da informação. Considerando as necessidades e particularidades da organização, é correto afirmar que:
Questão
Uma política de segurança é um instrumento importante para proteger a organização contra ameaças à segurança da informação. Considerando as necessidades e particularidades da organização, é correto afirmar que:
Alternativas
A) As políticas de segurança definem procedimentos específicos de manipulação e proteção da informação, mas não atribuem direitos e responsabilidades às pessoas que lidam com essa informação.
B) Questões relacionadas ao uso de senhas (requisitos para formação de senhas, período de validade das senhas etc.) não são cobertas pela Política de Segurança da Informação. Estas questões são tratadas em um manual para criação de senhas seguras, criado pela equipe de TI.
C) Antes que a política de segurança seja escrita, é necessário definir a informação a ser protegida e isto é feito, geralmente, através de uma análise de riscos.
D) A política de segurança é escrita e implantada pelo departamento de TI, deve ser seguida por todos os funcionários da organização e assinada pelo Gerente de TI, sem envolver a alta gestão, que cuida de assuntos estratégicos.
E) A política de segurança não estipula as penalidades às quais estão sujeitos aqueles que a descumprem. Isto é feito separadamente no manual do usuário entregue pelo RH no momento da contratação.
Explicação
Uma Política de Segurança da Informação (PSI) é um documento de alto nível que dá direcionamento e define princípios, papéis e responsabilidades, além de servir de base para normas e procedimentos mais específicos. Em boas práticas de SI (ex.: família ISO/IEC 27001/27002), a política deve estar alinhada ao negócio e ao gerenciamento de riscos, sendo aprovada pela alta gestão/top management. (cisotimes.com)
Analisando as alternativas:
A) Incorreta. Uma PSI normalmente atribui responsabilidades e papéis (ex.: quem é responsável por quê, deveres do usuário, da gestão, da TI etc.). A própria ISO 27001 enfatiza política e responsabilidades no contexto de liderança e direção da organização. (cisotimes.com)
B) Incorreta. Regras sobre senhas (criação, troca, confidencialidade, proibição de compartilhamento, etc.) podem aparecer na PSI ou, mais frequentemente, em normas/políticas específicas derivadas (como “política de controle de acesso” / “política de senhas”), mas de todo modo fazem parte do conjunto de políticas e diretrizes de segurança, não ficam “fora” do escopo por definição. Exemplos de PSIs e normas institucionais incluem diretrizes de senhas e até menção a penalidades por descumprimento. (rbinvestimentos.com)
C) Correta. Antes de escrever/fechar uma PSI (ou o conjunto de políticas), é necessário entender o que deve ser protegido e por quê, e isso normalmente é orientado por levantamento/identificação de ativos e por análise/gestão de riscos, que é a base do SGSI na ISO 27001 (abordagem por risco). (committee.iso.org)
D) Incorreta. Embora a TI e/ou Segurança da Informação participe fortemente, a política não é apenas “da TI”: ela requer direcionamento e aprovação da alta gestão (top management), pois é um instrumento de governança e alinhamento estratégico. (cisotimes.com)
E) Incorreta. Muitas PSIs e normas associadas deixam explícito que o descumprimento pode gerar sanções/medidas disciplinares (mesmo que o detalhamento esteja em normativos complementares). Há documentos institucionais que expressamente vinculam não conformidade a penalidades previstas. (sge.cbca.org.br)
Portanto, a alternativa que melhor descreve corretamente uma premissa típica para elaboração de uma PSI, considerando necessidades e particularidades da organização, é a C.