NORMAS TÉCNICAS

ISO/IEC 27002:2013
Viu algum erro neste material? Contate-nos em: degravacoes@grancursosonline.com.br

ISO/IEC 27002:2013 – CÓDIGO DE PRÁTICA PARA CONTROLES DE

SEGURANÇA DA INFORMAÇÃO IV

Organização da segurança da informação (seção)

A organização interna apresenta um objetivo de controle, que é estabelecer uma estru-

tura de gerenciamento, para iniciar e controlar a implementação da segurança da informação
dentro da organização.

DIRETO DO CONCURSO
1. (CESPE-CEBRASPE/2019) Conforme a NBR ISO/IEC n. 27002:2013, estabelecer uma
estrutura de gerenciamento para iniciar e controlar a implementação e operação da
segurança da informação dentro da organização é objetivo:
a. da política de segurança da informação.
b. da gestão de ativos.
c. do controle de acesso.
d. da segurança nas operações.
e. da organização interna.

COMENTÁRIO
O objetivo de controle é apresentado assim que começa uma seção, isto é, na organiza-
ção interna.

Responsabilidades e papéis pela segurança da informação (controle)

A norma recomenda que todas as responsabilidades pela segurança da informação sejam

definidas e atribuídas.
5m

Diretrizes para implementação

Convém que a atribuição das responsabilidades pela segurança da informação seja feita
em conformidade com as políticas de segurança da informação, ou seja, servem como um
input para ser transformado em responsabilidades. Desse modo, recomenda-se que as res-
ponsabilidades pela proteção de cada ativo e pelo cumprimento de processos de segurança
da informação específicos sejam claramente definidas.
Ademais, a norma recomenda que as responsabilidades pelas atividades do gerencia-
mento dos riscos de segurança da informação e, em particular, pela aceitação dos riscos
residuais sejam definidas, assim como as responsabilidades sejam complementadas, onde

www.grancursosonline.com.br 1
 NORMAS TÉCNICAS
ISO/IEC 27002:2013
Viu algum erro neste material? Contate-nos em: degravacoes@grancursosonline.com.br

necessário, com orientações mais detalhadas para locais específicos e recursos de proces-
samento da informação.
Indica-se que as responsabilidades locais para a proteção dos ativos e para realizar pro-
cessos de segurança da informação específicos, sejam definidas. Além disso, convém que
pessoas com responsabilidades definidas pela segurança da informação deleguem as tare-
fas de segurança da informação para outros usuários. Todavia, eles continuam responsáveis
para verificar se as tarefas delegadas estão sendo executadas corretamente.
10m
Propõe-se que as áreas pelas quais as pessoas sejam responsáveis, estejam claramente
definidas; em particular recomenda-se que os seguintes itens sejam cumpridos:
a) É indicado que os ativos e os processos de segurança da informação sejam identifica-
dos e claramente definidos;
b) O gestor responsável por cada ativo ou processo de segurança da informação tenha
atribuições definidas e os detalhes dessa responsabilidade sejam documentados;
c) Os níveis de autorização sejam claramente definidos e documentados;
d) As pessoas indicadas sejam competentes e capazes de cumprir com as responsabili-
dades pela segurança da informação e a elas seja dada a oportunidade de manter-se atuali-
zada com os desenvolvimentos;
e) A coordenação e a visão global dos aspectos de segurança da informação na cadeia
de suprimento sejam identificadas e documentadas.

Informações adicionais

Muitas organizações atribuem a um gestor de segurança da informação a responsabi-

lidade global pelo desenvolvimento e implementação da segurança da informação, e para
apoiar a identificação de controles. Entretanto, a responsabilidade por pesquisar e imple-
mentar os controles frequentemente permanecerá com os gestores individuais. Uma política
comum é a nomeação de um proprietário para cada ativo que, então, torna-se responsável
por sua proteção no dia a dia.
15m

GABARITO
1. e

�Este material foi elaborado pela equipe pedagógica do Gran Cursos Online, de acordo com a aula
preparada e ministrada pelo professor Jósis Alves.
A presente degravação tem como objetivo auxiliar no acompanhamento e na revisão do conteúdo
ministrado na videoaula. Não recomendamos a substituição do estudo em vídeo pela leitura exclu-
siva deste material.

www.grancursosonline.com.br 2