Uma empresa de seguros de vida sempre fiscaliza a execução dos reparos em seus equipamentos endpoint realizados pela equipe de manutenção a fim de assegurar a disponibilidade, a integridade e a confidencialidade das informações neles armazenadas. De acordo com a ABNT ISO IEC 27001, o controle de segurança da informação implementado pela empresa é o:
- A)de pessoas;
Errada, porque controle de pessoas se relaciona a treinamento, conscientização, seleção e responsabilidades, e não à fiscalização de reparos em equipamentos.
- B)físico;
Certa, porque a medida protege os endpoints durante a manutenção, tratando da segurança física dos ativos e dos dados neles armazenados.
- C)de processos;
Errada, porque controle de processos envolve procedimentos e rotinas de gestão, não a supervisão física do reparo de equipamentos.
- D)tecnológico;
Errada, porque o enunciado não fala de ferramentas de software, criptografia ou mecanismos técnicos, mas de proteção durante a manutenção de hardware.
- E)organizacional.
Errada, porque controle organizacional diz respeito à estrutura, políticas e governança da empresa, e não à guarda física dos equipamentos em reparo.
Gabarito: B
A ISO/IEC 27001 organiza os controles de segurança da informação em categorias bem práticas, para facilitar a escolha do que realmente protege a informação no dia a dia. Entre essas categorias, há controles ligados a pessoas, processos, tecnologia, aspectos organizacionais e, claro, ao ambiente físico. Aqui a palavra-chave é "fiscaliza a execução dos reparos em seus equipamentos endpoint". Quando a empresa acompanha a manutenção para garantir que os equipamentos não fiquem vulneráveis durante o reparo, ela está cuidando do local, do acesso e da integridade física desses ativos. Perceba que não se trata de regra de gestão de equipe, nem de procedimento interno de fluxo, nem de firewall ou antivírus. O foco está na proteção material dos endpoints enquanto passam por manutenção. Isso encaixa em controle físico, porque envolve salvaguardas concretas sobre equipamentos, acesso e preservação das informações armazenadas neles. Na lógica da ABNT NBR ISO/IEC 27001, os controles físicos tratam da proteção de instalações, áreas e equipamentos contra acesso indevido, dano, furto ou manipulação inadequada. Fiscalizar reparos é exatamente uma medida para evitar que a manutenção abra uma brecha para perda de confidencialidade, integridade ou disponibilidade. Então o gabarito B está correto porque a empresa está aplicando um controle físico de segurança da informação, ao supervisionar a intervenção nos equipamentos para impedir riscos ao ambiente e aos dados. Em prova, quando aparecer equipamento, acesso ao ativo, manutenção e proteção contra exposição física, acenda o alerta para essa categoria.