Um órgão público, a partir dos seus objetivos e necessidades organizacionais, deve estabelecer, implementar, manter e melhorar continuamente o Sistema de Gestão de Segurança da Informação (SGSI). Com relação à política de Segurança da Informação (PSI), que é um dos documentos que compõem o SGSI, analise as afirmativas a seguir. I. A PSI é elaborada a partir dos riscos levantados durante a elaboração do plano de gestão dos riscos. II. A PSI estabelece os princípios, diretrizes e atribuições relacionadas à Segurança da Informação de um órgão público. III. A PSI tem como objetivo proteger somente dados corporativos que trafegam por sistemas de tecnologia da informação e comunicação. Está correto o que se afirma em
- A)I, apenas.
A opção diz que apenas a afirmativa I está correta, isto é, que a PSI é construída a partir da análise dos riscos identificados no SGSI. Esse raciocínio tem base na abordagem por risco da ISO/IEC 27001, em que a política deve refletir o contexto organizacional, os riscos e a direção estratégica. O problema é que a afirmativa II também descreve corretamente a função da PSI, ao tratar de princípios, diretrizes e responsabilidades, então não é possível ficar só com I.
- B)I e II, apenas.
A opção reúne I e II, que estão alinhadas à lógica do SGSI. A PSI é definida com base no contexto organizacional e nos riscos de segurança da informação, servindo como referência para o tratamento desses riscos, e também estabelece princípios, diretrizes e atribuições de segurança. A III, porém, erra ao restringir a proteção apenas a dados corporativos em trânsito por sistemas de TI e comunicação, quando a segurança da informação alcança informações em qualquer suporte e em todo o seu ciclo de vida.
- C)I e III, apenas.
A opção admite I e III. Embora a I possa ser aceita pela abordagem baseada em riscos do SGSI, a III está tecnicamente equivocada porque a PSI não se limita a dados corporativos trafegando em sistemas de TI e comunicação. A política de segurança abrange informações em repouso, em uso e em trânsito, além de processos, pessoas e ativos relacionados, de modo que esse recorte é estreito demais.
- D)II e III, apenas.
A opção combina II e III. A II traduz corretamente o papel da PSI ao fixar princípios, diretrizes e responsabilidades de segurança da informação, mas a III reduz indevidamente o alcance da política. Segurança da informação não protege somente dados em trânsito; ela busca preservar confidencialidade, integridade e disponibilidade de informações em qualquer forma e meio, o que torna a combinação incorreta.
- E)I, II e III.
A opção afirma que as três assertivas estão corretas. A II realmente descreve a função típica da PSI, e a I pode ser compreendida como reflexo da gestão de riscos no SGSI; contudo, a III é incompatível com o conceito técnico de segurança da informação. Como a política não se restringe a dados corporativos que trafegam por sistemas de TI e comunicação, a alternativa não pode ser marcada por completo.
Gabarito: B
A Política de Segurança da Informação, ou PSI, é o documento-base do SGSI. Pense nela como a “regra do jogo”: ela não entra em detalhes operacionais, mas define a direção, os princípios e o que a organização espera em matéria de proteção da informação. Em órgãos públicos, isso costuma aparecer alinhado à estratégia institucional, às exigências legais e aos riscos identificados. Por isso, a afirmativa II está correta: a PSI realmente estabelece princípios, diretrizes e atribuições ligadas à Segurança da Informação. É exatamente esse o papel de uma política: orientar o comportamento da instituição e distribuir responsabilidades, sem virar um manual técnico gigante. A afirmativa I também está correta no contexto de SGSI. A política deve ser construída levando em conta os riscos identificados na gestão de riscos, porque a proteção da informação precisa ser compatível com as ameaças e vulnerabilidades do órgão. Em linguagem de prova, a PSI nasce conectada ao risco e aos objetivos organizacionais, não no “achismo”. Já a afirmativa III está errada porque a PSI não protege somente dados corporativos que trafegam por sistemas de TI e comunicação. Ela alcança informações em qualquer forma e meio, incluindo papel, conversas, arquivos, ambientes físicos e processos. Ou seja, segurança da informação é mais ampla do que “rede e computador”. Em termos normativos, a lógica é compatível com boas práticas de SGSI, como a ABNT NBR ISO/IEC 27001 e 27002, que tratam a política como documento central de orientação e alinhamento com riscos e objetivos do negócio. Assim, o gabarito é mesmo a letra B: I e II, apenas.