Considere, hipoteticamente, que determinado órgão público federal, responsável por gerenciar dados críticos sobre saúde, sofra um ataque ransomware, no qual criminosos criptografam os sistemas da entidade e exigem pagamento para liberar o acesso. Tal ataque poderia fazer com que o sistema ficasse indisponível por vários dias, provocando interrupção de serviços essenciais, como marcação de consultas, emissão de receita e comunicação entre hospitais, por exemplo. Com o objetivo de minimizar os impactos decorrentes de tais falhas, ou indisponibilidades significativas sobre as atividades do órgão ou da entidade nessa área, além de recuperar perdas de ativos de informação em nível aceitável, por intermédio de ações de resposta a incidentes e recuperação de desastres, o órgão público necessita da implementação do processo de gestão de:
- A)Segurança da informação.
Errada, porque “segurança da informação” é o campo amplo, mas o enunciado pede o processo específico voltado à indisponibilidade e recuperação operacional.
- B)Riscos de segurança da informação.
Errada, porque gestão de riscos ajuda a identificar e tratar ameaças, mas não descreve o processo de resposta e retomada após o incidente já ocorrer.
- C)Continuidade de negócios em segurança da informação.
Certa, porque trata da continuidade dos serviços, da resposta a incidentes e da recuperação de desastres para manter ou restabelecer a operação em nível aceitável.
- D)Mudanças nos aspectos relativos à segurança da informação.
Errada, porque gestão de mudanças trata de controlar alterações em sistemas e processos, não de enfrentar interrupções graves e recuperar serviços essenciais.
Gabarito: C
Quando um órgão sofre um ataque de ransomware, o problema não é só “segurança” em sentido genérico. O ponto central passa a ser manter ou restaurar os serviços essenciais, mesmo com falhas graves, indisponibilidade e perda temporária de acesso aos sistemas. É exatamente aí que entra o processo de gestão de continuidade de negócios em segurança da informação. Esse processo existe para reduzir o impacto de interrupções significativas nas atividades da organização e para recuperar ativos de informação em nível aceitável, usando medidas como resposta a incidentes, plano de continuidade, plano de recuperação de desastres e testes periódicos. Em outras palavras: se o sistema caiu, você precisa saber como continuar funcionando sem entrar em pânico e sem improviso de última hora. A própria lógica da norma e da doutrina de continuidade trata de manter os serviços críticos funcionando em níveis toleráveis e retomar a operação dentro de prazos compatíveis com o negócio. No contexto público, isso é ainda mais importante porque a parada pode afetar atendimento à população, saúde, urgência e comunicação entre unidades. Por isso, o gabarito é a letra C. O enunciado descreve justamente a necessidade de gerenciar a continuidade dos negócios diante de falhas graves e desastres, e não apenas implantar controles de proteção ou mapear riscos de forma isolada.