Norma ISO 17799 e 27001 - Q3

Segundo a norma ISO 27001, para se estabelecer o Sistema de Gestão de Segurança da Informação (SGSI), considere: 

I. A organização deve definir uma política do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia que esteja alinhada com o contexto estratégico de gestão de riscos da organização no qual o estabelecimento e manutenção do SGSI irão ocorrer. 

II. A organização deve definir a abordagem de análise/avaliação de riscos da organização e desenvolver critérios para a aceitação de riscos e identificar os níveis aceitáveis de risco. 

III. Identificar e avaliar as opções para o tratamento de riscos, sendo uma possível ação aceitar os riscos consciente e objetivamente, desde que satisfaçam claramente às políticas da organização e aos critérios de aceitação de riscos. 

Está correto o que se afirma em:

•  a) I e II, apenas.

•  b) I e III, apenas.

•  c) II, apenas.

•  d) III, apenas.

•  e) I, II e III.

Conforme a ISO 27001 em seu capítulo

4. Sistema de Gestão da Informação, trata dos seguintes tópicos:

    4.1 Requisitos Gerais;

    4.2 Estabelecendo e gerenciando o SGSI;

    4.3 Requisitos de documentação.


Analisando se os itens temos:


I - CORRETO.


   4.2 Estabelecendo e gerenciando o SGSI

       b) Definir uma política do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia que:

       1) esteja alinhada com o contexto estratégico de gestão de riscos da organização no qual o estabelecimento e manutenção do SGSI irão ocorrer.



II - CORRETO.


  4.2 Estabelecendo e gerenciando o SGSI

        c) Definir a abordagem de análise/avaliação de riscos da organização.

        2)Desenvolver critérios para a aceitação de riscos e identificar os níveis aceitáveis de risco.


III - CORRETO

     4.2 Estabelecendo e gerenciando o SGSI

             f) Identificar e avaliar as opções para o tratamento de riscos.

                  2)aceitar os riscos consciente e objetivamente, desde que satisfaçam claramente às políticas da organização e aos critérios de aceitação de riscos;