A análise crítica da política de segurança da informação visa assegurar a sua contínua pertinência, adequação e eficácia dentro da organização. Entre suas saídas, deve(m) estar
- A)a realimentação das partes interessadas.
Errada, porque realimentação das partes interessadas é um insumo útil para gestão, mas não é a saída típica exigida da análise crítica da política.
- B)o desempenho e a conformidade do processo.
Errada, porque desempenho e conformidade do processo são indicadores de acompanhamento, não o resultado principal da revisão da política.
- C)o relato sobre incidentes de segurança da informação.
Errada, porque relato de incidentes é informação importante para a gestão, mas não representa a saída esperada da análise crítica da política.
- D)a situação de ações preventivas e corretivas.
Errada, porque a situação de ações preventivas e corretivas é algo que pode ser acompanhado na gestão, mas não resume a saída da análise crítica.
- E)a melhoria dos controles e dos objetivos de controles.
Certa, porque a revisão deve gerar melhorias nos controles e nos objetivos de controles, em linha com a lógica de aperfeiçoamento contínuo da norma.
Gabarito: E
A análise crítica da política de segurança da informação é aquele momento em que a organização para, olha o que foi definido e pergunta: isso ainda faz sentido? Ela serve para verificar se a política continua pertinente, adequada e eficaz. Em outras palavras, não é uma reunião decorativa - ela precisa gerar efeitos práticos. Na lógica das normas de segurança da informação, especialmente a família ISO/IEC 27001, a revisão pela direção deve produzir saídas que ajudem a melhorar o sistema. Entre essas saídas, entram decisões sobre melhorias em controles, ajustes em objetivos e outras ações para corrigir rumos. Se a análise mostra que algo está fraco, o esperado não é só registrar o problema, mas propor aperfeiçoamentos concretos. Por isso, o gabarito é a letra E. Ela traduz exatamente a ideia de resultado útil da análise crítica: melhorar controles e objetivos de controles. Isso conversa com a abordagem de melhoria contínua presente na ISO/IEC 27001 e com o raciocínio clássico de gestão de segurança: revisar, corrigir e elevar o nível de proteção. As outras alternativas falam de elementos que podem aparecer no dia a dia da gestão, mas não são a saída central dessa análise crítica da política. A banca gosta de misturar conceitos parecidos para ver se você confunde acompanhamento operacional com resultado da revisão estratégica.