Com relação às normas ABNT NBR ISO/IEC 27001 e 27002, julg...

Alternativa correta: C - certo

A questão em discussão aborda um ponto fundamental da implementação de um Sistema de Gestão de Segurança da Informação (SGSI) conforme as normas ABNT NBR ISO/IEC 27001 e 27002. O escopo do SGSI é o limite ou fronteira que define quais informações, processos, departamentos, sistemas e aplicações estarão inclusos na gestão de segurança da informação da organização. Esse escopo deve ser claramente definido e documentado para garantir que todos os aspectos relevantes da segurança da informação sejam abordados de forma adequada.

Além da definição do escopo, é essencial realizar uma análise e avaliação de riscos. Esse processo consiste em identificar possíveis ameaças à segurança das informações e avaliar a probabilidade e o impacto desses riscos materializarem-se. A partir disso, a organização pode determinar quais controles são adequados para tratar os riscos identificados, minimizando-os a um nível aceitável de acordo com a política de segurança da empresa.

A alternativa está correta pois reflete um dos passos iniciais e mais importantes na implementação de um SGSI, que é a definição do escopo e a avaliação de riscos. Este passo é crucial para assegurar que o SGSI seja eficaz e esteja alinhado com os objetivos da organização, além de ser um requisito explícito da norma ISO/IEC 27001.

Por fim, compreender a importância do escopo e da avaliação de riscos é vital para qualquer profissional que deseja implementar ou gerenciar um SGSI de acordo com as padronizações internacionais, o que inclui também a compreensão detalhada de como proceder com essas etapas conforme as diretrizes das normas mencionadas.

27001:

4.2.1 Estabelecer o SGSI

A organização deve:

a) Definir o escopo e os limites do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo.

No processo de estabelecimento do SGSI há:
- Definição:
do Escopo e Limites do SGSI
da Política
da abordagem de Análise/avaliação de riscos
- Identificação:
dos riscos
das opções de tratamento dos riscos
- Seleção: dos objetivos de controle e controles para tratamento de riscos
- Análise e avaliação do riscos
- Obtenção:
da aprovação dos riscos residuais
da autorização para implementar e operar o SGSI
- Preparação da Declaração de Aplicabilidade

Visto de outra maneira:




Ou ainda:


Fonte:
http://tecnoativa.wordpress.com/2010/02/23/a-maturidade-da-seguranca-da-informacao/
http://www.normas-iso.com/iso-27001