Atualmente, as organizações são dependentes da tecnologia e dos sistemas computacionais. Logo, a perda de equipamentos e informações podem impactar a gestão da continuidade do negócio, causando perdas financeiras e, até mesmo, dependendo da gravidade das ameaças, provocando sua dissolução. Nesse contexto, a instrução que faz parte do controle da gestão da continuidade de negócio é:
- A)a gerência tem como dever desabilitar contas inativas, sem senhas ou com senhas fracas;
Errada: desabilitar contas inativas ou com senha fraca é um controle de gestão de acesso/autenticação, não de continuidade de negócio.
- B)as aplicações devem bloquear contas de usuários após determinado número de tentativas de acesso sem sucesso;
Errada: bloquear contas após tentativas malsucedidas é mecanismo de segurança de autenticação, voltado a evitar ataques de força bruta.
- C)a gerência deve proibir o acesso de funcionários não autorizados ao Data Center;
Errada: impedir acesso de não autorizados ao Data Center é controle de امنیتade física e proteção de ambiente, não de continuidade.
- D)o Plano de Contingência deve determinar como responder a possíveis desastres;
Certa: o Plano de Contingência define como responder a desastres e manter ou restaurar as operações críticas.
- E)os usuários que operam os sistemas de TI da organização devem assinar um termo de responsabilidade antes de obter o acesso a eles.
Errada: termo de responsabilidade é medida administrativa de conscientização e formalização de uso, sem relação direta com continuidade de negócio.
Gabarito: D
Nesta questão, o foco é gestão da continuidade de negócio, que é a parte da segurança da informação voltada a manter a organização funcionando, ou a voltar a funcionar o mais rápido possível, quando algo dá errado. Pense assim: enquanto alguns controles protegem o acesso e a autenticação do dia a dia, a continuidade de negócio cuida do plano B quando há desastre, falha grave ou interrupção importante. A ideia central é preparar a empresa para enfrentar eventos que coloquem em risco operações, pessoas, sistemas e informações. Isso normalmente envolve análise de impacto, estratégias de recuperação, plano de contingência, procedimentos de resposta e testes periódicos. Em normas como a ISO 22301, esse raciocínio aparece de forma bem clara: não basta rezar para nada acontecer, é preciso saber o que fazer quando acontecer. Por isso, a alternativa D está correta. O Plano de Contingência é justamente o documento que orienta como responder a possíveis desastres, definindo ações para conter o impacto, recuperar serviços críticos e manter o negócio de pé. Em outras palavras: se o desastre bater na porta, o plano precisa saber atender sem pânico. As outras alternativas tratam de controles de segurança mais ligados a autenticação, acesso físico ou responsabilidade de usuários, mas não são o núcleo da gestão da continuidade de negócio. A banca FGV gosta muito de misturar temas parecidos para ver se você separa bem prevenção de acesso, proteção física e continuidade operacional.