ISO 22301 Foundation

Dez questões de exemplo tiradas do simulado

Uma por área de competência, exatamente como no simulador.

1. D2 Requisitos da ISO 22301, cláusulas 4 a 10

   A Brantford Foods possui um certificado ISO 22301, recebe anualmente uma auditoria de supervisão de seu organismo de certificação e, a cada dois anos, é auditada por dois grandes clientes com base em um direito de auditoria previsto nos contratos de fornecimento. Diante disso, o gestor do SGCN deixou de executar o programa de auditoria interna da própria empresa, argumentando que o SGCN já é auditado duas vezes. Como essa decisão deve ser julgada em relação à cláusula 9.2?

   1. Coberto no ano em questão: uma auditoria de supervisão examina o mesmo SGCN em relação à mesma norma, de modo que dispensa a Brantford de cumprir a cláusula 9.2.
   2. Aceitável enquanto os relatórios do cliente e as conclusões da vigilância são apresentados na análise crítica pela direção e as ações resultantes são acompanhadas até o encerramento.
   3. Não aceitável: a cláusula 9.2 solicita que a organização conduza auditorias internas de seu próprio SGCN em intervalos planejados, e ambas as auditorias descritas são externas.
   4. Inaceitável, embora por outro motivo: uma auditoria realizada por um cliente não é independente da relação comercial e as auditorias de supervisão por si só teriam sido suficientes.

2. D1 Princípios e conceitos fundamentais de um SGCN

   Como a ISO 22313 se relaciona com a ISO 22301?

   1. Ela oferece orientações sobre a aplicação dos requisitos da ISO 22301; portanto, seu conteúdo não pode ser auditado, por si só, como requisito.
   2. Acrescenta um conjunto adicional de requisitos que uma organização certificada segundo a ISO 22301 deve satisfazer em sua próxima auditoria.
   3. Ela substitui a ISO 22301 como norma certificável da família ISO 22300, enquanto a ISO 22301 passa a funcionar como seu glossário.
   4. Ela fornece o vocabulário ao qual a ISO 22301 faz referência normativa; portanto, suas definições regem qualquer termo contestado.

3. D2 Requisitos da ISO 22301, cláusulas 4 a 10

   A Kestrel Pharma terceirizou a distribuição da cadeia de frio de suas vacinas, uma atividade priorizada, para um fornecedor de logística que possui um certificado ISO 22301. O comitê de continuidade da Kestrel quer garantia de que o fornecedor poderá restaurar as entregas dentro do prazo definido pela própria análise de impacto nos negócios da Kestrel. Qual curso de ação atende aos requisitos da ISO 22301?

   1. Auditar o fornecedor com base no direito de auditoria previsto no contrato, pois o certificado foi concedido considerando o escopo do fornecedor, e não os prazos de recuperação da Kestrel.
   2. Adicionar o fornecedor ao programa de auditoria interna exigido pela cláusula 9.2 e registrar a visita como uma auditoria interna, sob o fundamento de que a atividade terceirizada está dentro do escopo do SGCN da Kestrel.
   3. Confiar no organismo de certificação que audita o fornecedor e arquivar uma cópia do certificado, pois uma auditoria de terceira parte é mais minuciosa do que qualquer verificação que a Kestrel poderia organizar.
   4. Solicitar que o fornecedor se avalie em relação aos requisitos de recuperação da Kestrel e envie o relatório, pois a cláusula 9.2 exige apenas uma auditoria interna.

4. D1 Princípios e conceitos fundamentais de um SGCN

   Uma organização certificada segundo a ISO/IEC 27001 está considerando um SGCN baseado na ISO 22301. Qual afirmação descreve a relação entre as duas normas?

   1. As duas se sobrepõem a tal ponto que se presume que uma organização que esteja em conformidade com uma esteja em conformidade com a outra, e uma única auditoria em relação a qualquer uma das normas é aceita como evidência para ambas.
   2. A certificação ISO/IEC 27001 é um pré-requisito para a certificação ISO 22301, pois um SGCN depende de um sistema de gestão de segurança da informação.
   3. ISO 22301 é uma extensão da ISO/IEC 27001 dedicada à disponibilidade de informações, portanto, seus requisitos já são atendidos pelos controles de segurança existentes.
   4. São normas de sistemas de gestão separadas na mesma estrutura harmonizada: ISO/IEC 27001 aborda a segurança da informação, ISO 22301 a continuidade de produtos e serviços.

5. D2 Requisitos da ISO 22301, cláusulas 4 a 10

   Um grupo hospitalar identificou as leis e regulamentos aplicáveis à continuidade de seus serviços quando implementou seu SGCN há três anos e arquivou a lista. Ninguém o revisitou desde então. O que a cláusula 4.2 exige da organização?

   1. Copiar o texto completo das leis, regulamentos e códigos aplicáveis na informação documentada do SGCN, para que o pessoal possa encontrá-los e consultá-los.
   2. Revisar a lista de requisitos legais, regulamentares e contratuais quando um incidente, uma alegação ou uma auditoria revelar uma violação.
   3. Operar um processo que identifique, dê acesso e avalie os requisitos aplicáveis e mantenha essas informações documentadas atualizadas.
   4. Transferir a responsabilidade pelos requisitos legais e regulamentares para o departamento jurídico, que fica fora dos limites do SGCN.

6. D1 Princípios e conceitos fundamentais de um SGCN

   Qual afirmação reflete melhor o que significa continuidade de negócios na ISO 22301?

   1. O processo de retornar a organização ao estado exato em que se encontrava antes do incidente, com o mesmo pessoal e capacidade.
   2. Conjunto de medidas técnicas que mantêm disponíveis os sistemas de informação da organização e seus dados armazenados em um segundo data center.
   3. A ausência de qualquer interrupção, conseguida eliminando antecipadamente todas as causas que possam interromper as atividades priorizadas da organização.
   4. A capacidade de uma organização continuar a fornecer produtos e serviços dentro de prazos aceitáveis e com capacidade predefinida durante uma interrupção.

7. D2 Requisitos da ISO 22301, cláusulas 4 a 10

   Ao revisar as partes interessadas do SGCN, uma empresa brasileira de logística identifica clientes que passaram a exigir evidências de continuidade diante de eventos climáticos extremos. Segundo a ISO 22301:2019 com a Emenda 1:2024, qual é a interpretação mais precisa para a Seção 4.2?

   1. A organização deve determinar quais requisitos dessas partes interessadas são relevantes para o SGCN; a nova nota alerta que partes interessadas pertinentes podem ter requisitos relacionados à mudança climática.
   2. Toda expectativa climática manifestada por qualquer parte interessada passa automaticamente a ser requisito obrigatório do SGCN, mesmo sem relevância para seu escopo.
   3. A organização só precisa considerar requisitos climáticos quando existir uma lei nacional que use expressamente o termo ISO 22301.
   4. A Emenda 1 transfere à parte interessada a decisão final sobre o escopo, os objetivos e as soluções de continuidade da organização.

8. D1 Princípios e conceitos fundamentais de um SGCN

   Qual descrição corresponde ao que a ISO 22301 espera de um plano de continuidade de negócios?

   1. Um plano de tratamento de riscos listando os controles escolhidos, seus proprietários e prazos, para reduzir a probabilidade de interrupção.
   2. Informações documentadas que orientam a organização na resposta a uma interrupção e na retomada e recuperação de seus produtos e serviços.
   3. Um procedimento técnico de recuperação para restaurar os sistemas de TI e seus dados ao estado em que se encontravam antes da interrupção.
   4. Uma declaração dos compromissos de continuidade de negócios da organização, aprovada pela Alta Direção e disponibilizada às partes interessadas.

9. D2 Requisitos da ISO 22301, cláusulas 4 a 10

   Uma empresa de serviços públicos pretende deixar um de seus quatro centros de serviços fora do escopo de seu SGCN porque esse centro deverá encerrar dentro de dois anos. O que a ISO 22301 permite?

   1. A exclusão é válida desde que o centro seja abrangido por um acordo separado, acordado com seus clientes, seu regulador e as autoridades locais, e revisado anualmente.
   2. Não é permitido: uma vez que uma organização busca a conformidade com a ISO 22301, os locais, atividades e funções que ela opera devem ficar dentro do escopo do SGCN até que efetivamente deixem de operar.
   3. Nenhuma formalidade é necessária, porque a cláusula 4.3 deixa os limites, a aplicabilidade e as exclusões do SGCN ao julgamento comercial da organização.
   4. É permitida se a exclusão for documentada e explicada e não afetar a capacidade e responsabilidade da organização de fornecer continuidade a seus produtos e serviços.

10. D1 Princípios e conceitos fundamentais de um SGCN

    Qual resultado é produzido pela análise de impacto nos negócios (BIA) e não pela avaliação de risco?

    1. Uma lista priorizada das ameaças que podem interromper as atividades, com sua probabilidade e possíveis causas.
    2. Uma decisão sobre as opções de tratamento de riscos que a organização aplicará às ameaças que considera inaceitáveis.
    3. A identificação das atividades priorizadas e dos prazos em que cada uma delas deve ser retomada.
    4. Uma avaliação para saber se os controles de proteção existentes mantêm a probabilidade de uma interrupção a um nível tolerável.

Responda às mesmas dez questões no simulador e leia a explicação de cada opção, inclusive das incorretas. Abre sem cadastro →

Sobre o exame oficial: o formato, a duração e o número de questões são definidos pelo organismo de certificação e podem mudar; por favor, confira nos documentos dele antes de se inscrever. Este material treina com base na norma, não no exame de um organismo específico, e por isso também é útil para se certificar em outro lugar.