Question

Em fiscalização de conformidade na área de segurança da informação, a equipe de auditoria do TCE-PE examina o sistema de gestão de segurança da informação (SGSI) de uma autarquia estadual, utilizando como critérios as normas ISO/IEC 27001 e ISO/IEC 27002. Sobre o emprego dessas normas como critérios de auditoria, é correto afirmar que

Accepted Answer

B) a ISO/IEC 27001 estabelece requisitos para um SGSI e pode servir de base para a certificação do SGSI da organização, ao passo que a ISO/IEC 27002 reúne diretrizes para a implementação de controles de segurança da informação e não é uma norma certificável.

Answer

A) a ISO/IEC 27002 contém os requisitos obrigatórios do SGSI, cabendo à ISO/IEC 27001 detalhar as diretrizes práticas para a implementação dos controles.

Answer

C) a certificação do SGSI exige a implementação integral dos controles do Anexo A da ISO/IEC 27001, vedada a exclusão de qualquer controle.

Answer

D) as duas normas são certificáveis, e a escolha entre uma e outra depende do porte da organização auditada e do grau de maturidade do seu sistema de gestão.

Answer

E) a ISO/IEC 27002 destina-se somente a organizações privadas, devendo os órgãos públicos adotar exclusivamente a ISO/IEC 27001.

Mais questões de Auditoria de sistemas de informação