Com base na norma ISO/IEC 27002, assinale a opção correta a respeito de controles de acesso.
- A)É fundamental que o controle de acesso a ativos de uma organização seja estabelecido com base em requisitos políticos e de usabilidade dos recursos.
Errada, porque o controle de acesso deve se basear em requisitos de negócio e segurança, não em "requisitos políticos e de usabilidade" como fundamento principal.
- B)Por questões de segurança, é crucial que as informações sobre os requisitos do negócio a serem atendidos pelo controle de acesso sejam restritas ao conselho diretivo da organização.
Errada, pois as necessidades de negócio para controle de acesso não devem ficar restritas só ao conselho diretivo, mas serem tratadas de forma organizada e comunicável aos responsáveis.
- C)Uma política de controle de acesso deve estabelecer a concentração das funções de controle de acesso, tais como pedidos, autorizações e administração de acessos.
Errada, porque a política não deve concentrar funções como solicitação, autorização e administração de acessos na mesma estrutura; isso aumenta risco e conflito de funções.
- D)Para evitar sobrecarga no processamento de informações, é recomendado evitar a retenção dos registros de acesso, das identidades dos usuários e dos dados de autenticação.
Errada, porque a retenção de registros de acesso, identidades de usuários e dados de autenticação é importante para rastreabilidade, auditoria e investigação de incidentes.
- E)Convém que as regras para controle de acesso sejam apoiadas por procedimentos formais e responsabilidades claramente definidas.
Certa, porque a ISO/IEC 27002 orienta que as regras de controle de acesso sejam apoiadas por procedimentos formais e responsabilidades claramente definidas.
Gabarito: E
Na ISO/IEC 27002, controle de acesso não é improviso de última hora nem "senha na mão de todo mundo". A ideia é fazer com que apenas quem realmente precisa acesse ativos, informações e sistemas, com regras claras, baseadas nas necessidades do negócio e em critérios de segurança. A norma também reforça que essas regras devem ser sustentadas por procedimentos formais e responsabilidades bem definidas. É aqui que a alternativa E acerta em cheio: a política de controle de acesso não pode ser só um texto bonito na intranet. Ela precisa vir acompanhada de procedimentos práticos, como solicitação, concessão, revisão, revogação e monitoramento de acessos, além de indicar quem faz o quê. Sem isso, o controle vira bagunça organizada. A ISO/IEC 27002 trata o controle de acesso como um conjunto de diretrizes para reduzir risco e evitar acesso indevido, e isso envolve governança. Em termos simples: regra sem processo e sem dono não funciona. Por isso, a norma orienta que as regras sejam apoiadas por procedimentos formais e responsabilidades claramente definidas. Em prova, fique atento ao jeitão CESPE: a banca gosta de trocar "formalização e responsabilidades" por frases sedutoras, mas erradas, como centralização excessiva, restrição indevida de informações ou abandono de registros. A lógica da norma é justamente o oposto: controle bem definido, documentado e auditável.