Uma empresa de tecnologia da informação sofreu um incidente de segurança envolvendo vazamento de dados de clientes. A equipe de resposta a incidentes, seguindo as diretrizes da ABNT NBR ISO/IEC 27035, identificou que o ataque explorou uma vulnerabilidade no processo de desenvolvimento de software. Após a contenção e erradicação, a organização decidiu revisar seus controles de segurança da informação com base nas normas ABNT NBR ISO/IEC 27001, 27002 e 27005.
Considerando esse cenário e as práticas recomendadas por essas normas, avalie as afirmativas a seguir:
- Na fase de 'lições aprendidas' da NBR ISO/IEC 27035, é recomendável que a organização atualize a avaliação de riscos de segurança da informação, conforme a NBR ISO/IEC 27005, para refletir as novas ameaças identificadas.
- A NBR ISO/IEC 27002 recomenda que a organização estabeleça um processo de desenvolvimento seguro que inclua a análise de riscos de segurança da informação desde as fases iniciais do ciclo de vida de desenvolvimento de sistemas.
- De acordo com a NBR ISO/IEC 27001, a organização deve implementar controles para garantir a segurança da informação, mas a seleção desses controles é baseada exclusivamente no Anexo A da norma, sem necessidade de justificativa adicional.
- A NBR ISO/IEC 27005 estabelece que a avaliação de riscos deve considerar as vulnerabilidades exploradas no incidente e que o tratamento de riscos pode incluir a decisão de evitar o risco, reduzir o risco, compartilhar o risco ou aceitar o risco.
Estão corretas apenas as afirmativas:
