ISO/IEC 27001 Foundation

Dez questões de exemplo tiradas do simulado

Uma por área de competência, exatamente como no simulador.

1. D1 Princípios e conceitos fundamentais de um SGSI

   Qual é a relação entre a ISO/IEC 27001 e a ISO/IEC 27002?

   1. A ISO/IEC 27002 substitui a ISO/IEC 27001 nas organizações que, uma vez certificadas, atingiram um nível de maturidade suficiente
   2. A ISO/IEC 27001 contém os requisitos certificáveis, enquanto a ISO/IEC 27002 fornece orientações sobre a implementação dos controles
   3. A ISO/IEC 27002 contém os requisitos auditáveis, e a ISO/IEC 27001 apenas reúne o vocabulário comum da família
   4. Ambas as normas contêm requisitos certificáveis, e a organização precisa declarar conformidade com as duas ao mesmo tempo

2. D2 Sistema de Gestão da Segurança da Informação

   Uma organização define "melhorar a segurança dos sistemas" como seu objetivo de segurança da informação, sem mais detalhes, e não atribui responsável nem prazo. Qual requisito da ISO/IEC 27001 essa organização deixa de cumprir?

   1. Nenhum requisito é violado aqui: a redação dos objetivos de segurança da informação e seu acompanhamento ao longo do tempo ficam a critério de cada organização, qualquer que seja seu porte
   2. O da Seção 5.2, porque os objetivos, seus indicadores, seus recursos, seus responsáveis e seus prazos precisam constar, em detalhe, no próprio texto da política de segurança da informação
   3. O requisito da Seção 9.1, que condiciona o estabelecimento de objetivos a uma medição e avaliação prévias do desempenho de segurança da informação do ano anterior
   4. O requisito da Seção 6.2 de objetivos coerentes com a política e mensuráveis, se praticável, junto com recursos, um responsável e uma data de conclusão

3. D1 Princípios e conceitos fundamentais de um SGSI

   Como um sistema de gestão baseado na ISO/IEC 27001 ajuda uma organização a cumprir suas obrigações legais?

   1. Substituindo a legislação aplicável pelos requisitos da norma, que são tratados como equivalentes para fins de conformidade legal
   2. Transferindo a responsabilidade pela conformidade legal, em sua totalidade, ao organismo que emite o certificado, que passaria a responder perante as autoridades, os clientes e os terceiros envolvidos
   3. Incorporando os requisitos legais e contratuais pertinentes e usando o A.5.31 quando necessário, conforme a Seção 6.1.3
   4. Isentando a organização de suas obrigações setoriais, nas áreas cobertas pela auditoria, enquanto o certificado permanecer válido

4. D2 Sistema de Gestão da Segurança da Informação

   O comitê de direção de uma empresa registra em sua análise de contexto a evolução do setor, as mudanças regulatórias e a chegada de novos concorrentes, mas deixa de fora sua própria estrutura organizacional, seus recursos e sua cultura. O que se deve concluir sobre essa análise?

   1. Está incompleta, porque a Seção 4.1 exige que sejam determinadas as questões externas, mas também as internas
   2. Está correta, porque as questões internas são tratadas mais adiante, quando se determinam os requisitos das partes interessadas
   3. Está correta, porque a Seção 4.1 abrange as questões que estão além do controle da organização, como o mercado ou o ambiente regulatório
   4. Está incompleta para uma organização que pretende se certificar por terceira parte, ao passo que, nos demais casos, basta uma análise do ambiente externo

5. D1 Princípios e conceitos fundamentais de um SGSI

   De acordo com a definição comum às normas de sistemas de gestão, o que é um sistema de gestão?

   1. O conjunto de aplicações de software, inclusive as de gestão documental, com as quais uma organização administra seus registros e automatiza seus fluxos de trabalho e suas rotas de aprovação
   2. Um conjunto de elementos inter-relacionados ou interativos de uma organização, usado para estabelecer políticas e objetivos, e processos para alcançar esses objetivos
   3. O organograma, junto com a descrição dos cargos e as linhas de reporte de cada departamento
   4. O conjunto de documentos aprovados pela alta direção, no qual estão registradas as instruções de trabalho que o pessoal deve seguir

6. D2 Sistema de Gestão da Segurança da Informação

   Durante a implantação de um sistema de gestão, o responsável pela segurança elabora a lista de partes interessadas e inclui apenas os clientes. O que mais precisa ser levado em conta de acordo com a ISO/IEC 27001?

   1. Outras partes interessadas pertinentes e seus requisitos pertinentes
   2. Nada, desde que os clientes tenham formalizado seus requisitos de segurança nos contratos assinados e em seus anexos
   3. Os fornecedores com acesso aos sistemas, sejam diretos ou por meio de subcontratados; a análise de riscos já cobre as demais partes interessadas
   4. As autoridades competentes e seus requisitos legais, deixando as demais partes interessadas como questão de inclusão voluntária

7. D1 Princípios e conceitos fundamentais de um SGSI

   Como está estruturada a norma ISO/IEC 27001:2022?

   1. Em Seções 1 a 3 de natureza introdutória, Seções 4 a 10 contendo os requisitos do sistema de gestão e um Anexo A com os controles de referência
   2. Em quatro seções introdutórias e seis capítulos de controles técnicos, sem qualquer requisito relativo ao sistema de gestão
   3. Em dez seções de requisitos, todas auditáveis, seguidas de três anexos informativos com exemplos de implementação e listas de verificação
   4. Em uma parte de requisitos e uma parte de orientações, ambas obrigatórias para obter a certificação e depois manter o certificado nas auditorias de manutenção

8. D2 Sistema de Gestão da Segurança da Informação

   Durante uma auditoria, constata-se que a alta direção aprovou a política de segurança da informação, mas não alocou recursos, não comunicou a importância do sistema e não participa da análise crítica pela direção. Que conclusão se impõe?

   1. Há uma não conformidade com a Seção 7.5, porque o problema é que a política não está devidamente documentada e distribuída
   2. Não há não conformidade, porque aprovar a política é a única ação que a norma exige da alta direção
   3. Há uma não conformidade com a Seção 5.1, porque liderança e comprometimento exigem ações que vão muito além de aprovar a política; a ausência de uma análise crítica pela direção conforme também sustenta uma não conformidade separada sob a Seção 9.3
   4. Não há não conformidade, desde que exista um responsável pela segurança da informação com autoridade expressamente delegada por escrito pela alta direção

9. D1 Princípios e conceitos fundamentais de um SGSI

   Dentro da família de normas ISO/IEC 27000, qual norma fornece a visão geral de seus conceitos, princípios e relações?

   1. A ISO/IEC 27003, que desenvolve as orientações para implantar o sistema de gestão, junto com os termos e definições próprios dessas orientações dentro da família de normas
   2. A ISO/IEC 27005, a norma de orientação para a gestão de riscos de segurança da informação dentro da família
   3. A ISO/IEC 27000, que fornece a visão geral dos conceitos, princípios e relações dentro da família de normas
   4. A ISO/IEC 27004, que trata de monitoramento, medição, análise e avaliação

10. D2 Sistema de Gestão da Segurança da Informação

    Qual das seguintes estruturas é coerente com uma gestão de políticas de segurança da informação em conformidade com as normas?

    1. Uma única política geral abrangendo o corpo interno de documentos: multiplicar documentos normativos prejudica sua compreensão, sua distribuição e seu controle efetivo pelo pessoal
    2. Uma política geral de segurança da informação, complementada quando necessário por políticas de segurança da informação específicas por tema
    3. Uma política para cada controle do Anexo A declarado aplicável, de modo que o corpo de políticas espelhe a Declaração de Aplicabilidade (DdA/SoA)
    4. Uma política por departamento, redigida e aprovada autonomamente pelo gestor de cada área

Responda às mesmas dez questões no simulador e leia a explicação de cada opção, inclusive das incorretas. Abre sem cadastro →

Sobre o exame oficial: o formato, a duração e o número de questões são definidos pelo organismo de certificação e podem mudar; por favor, confira nos documentos dele antes de se inscrever. Este material treina com base na norma, não no exame de um organismo específico, e por isso também é útil para se certificar em outro lugar.