O analista Tiago foi incumbido de implementar, em determinado setor do MPU, dois controles previstos na NBR ISO/IEC 27001: o controle de trabalho remoto e o controle de mídia de armazenamento. A fim de harmonizar essa implementação com outras determinações do MPU que podem ser aplicáveis ao escopo de determinado controle, o analista deve ter em mente qual é o tipo de controle que está sendo implementado, à luz da norma. À luz da NBR ISO/IEC 27001, os controles sendo implementados por Tiago pertencem, respectivamente, às categorias:
- A)pessoal e físico;
Correta: trabalho remoto é controle de pessoas e mídia de armazenamento é controle físico.
- B)tecnológico e físico;
Errada: trabalho remoto não é classificado como tecnológico, e sim como controle de pessoas.
- C)tecnológico e pessoal;
Errada: o segundo controle não é tecnológico, pois mídia de armazenamento pertence à categoria física.
- D)tecnológico e organizacional;
Errada: trabalho remoto não é organizacional na classificação cobrada pela questão.
- E)organizacional e tecnológico.
Errada: as categorias estão invertidas, porque trabalho remoto não é organizacional e mídia de armazenamento não é tecnológico.
Gabarito: A
A ISO/IEC 27001 organiza os controles em categorias para facilitar a gestão e a escolha do tipo de proteção adequado. Na versão alinhada com a ISO/IEC 27002:2022, há controles de natureza organizacional, de pessoas, física e tecnológica. A lógica é simples: o mesmo problema pode exigir um tipo diferente de resposta, dependendo de quem executa a ação e de onde o risco nasce. No caso da questão, o controle de trabalho remoto se encaixa em controles de pessoas, porque trata do comportamento e das responsabilidades dos usuários que trabalham fora do ambiente físico tradicional da organização. Já o controle de mídia de armazenamento é físico, pois cuida de ativos materiais, como dispositivos, pendrives, discos e outros meios de armazenamento. Isso importa porque, ao implementar o controle, Tiago precisa harmonizá-lo com outras determinações aplicáveis ao mesmo escopo, e a categoria do controle ajuda a identificar quais políticas e procedimentos devem ser observados. Em resumo: trabalho remoto conversa com pessoas; mídia de armazenamento conversa com o mundo físico. Por isso o gabarito A está correto: respectivamente, controle de trabalho remoto é pessoal e controle de mídia de armazenamento é físico. É aquela clássica pegadinha da ISO: não basta saber o nome do controle, é preciso saber em que “gaveta” ele foi colocado pela norma.