A norma ABNT NBR ISO/IEC 27001 pertence à família ABNT NBR ISO/IEC 27000 e define
- A)código de boas práticas para controles de segurança da informação, não dispondo de um esquema para certificação acreditada.
Errada, porque código de boas práticas para controles de segurança é a função típica da ISO/IEC 27002, e não da 27001.
- B)princípios, vocabulário e nomenclatura utilizados nas demais normas da família.
Errada, porque princípios, vocabulário e nomenclatura são associados à ISO/IEC 27000, que organiza os conceitos da família.
- C)requisitos para sistemas de gestão de segurança da informação, sendo a única norma da família passível de certificação acreditada.
Certa, porque a ISO/IEC 27001 estabelece requisitos para o SGSI e é a única norma da família passível de certificação acreditada.
- D)técnicas para gestão de risco da segurança da informação, não dispondo de esquema de certificação acreditada.
Errada, porque técnicas para gestão de risco não são o foco da 27001, além de ela não ser uma norma apenas de orientação sem certificação.
Gabarito: C
A família ABNT NBR ISO/IEC 27000 trata de segurança da informação, e cada norma tem uma função bem específica dentro desse “time”. A 27001 é a estrela da vez quando o assunto é Sistema de Gestão de Segurança da Informação (SGSI), porque ela traz os requisitos que a organização precisa cumprir para implementar, manter e melhorar esse sistema. É por isso que a letra C está correta: a ISO/IEC 27001 define requisitos e é a única norma da família que admite certificação acreditada. Em prova, isso costuma aparecer assim mesmo, quase como uma senha: 27001 = requisitos = certificação. Já a 27002, por exemplo, é mais voltada a boas práticas e controles, sem ser a norma certificável do SGSI. A família 27000 é cheia de “vizinhos” com papéis diferentes. Algumas normas tratam de vocabulário, outras de diretrizes, outras de controles e riscos. Então, se a banca perguntar qual delas estabelece a base formal para certificar o sistema de gestão, pense direto na 27001. Resumo de bolso: 27000 costuma trazer conceitos e vocabulário; 27002 traz controles e boas práticas; 27001 traz requisitos do SGSI e pode ser certificada. É o tipo de questão que adora trocar uma norma pela outra para ver se você cai no truque.