O item 12.2.1 da ABNT NBR ISO/IEC 27002:2013 diz respeito aos controles contra malware, cujas diretrizes para implementação recomendam a proteção contra códigos maliciosos baseada em softwares de detecção e reparo, na conscientização da informação, no controle de acesso adequado e nos planos de continuidade de negócio. Com base no acima exposto, e no seu conhecimento de segurança da informação e sistemas de computação, marque a alternativa que possui uma das diretrizes recomendadas:

Alternativa D

A questão aborda os controles de segurança da informação, especificamente relacionados à norma ABNT NBR ISO/IEC 27001:2013, focando na proteção contra malware (códigos maliciosos).

Fundamentação Teórica

A norma ISO 27001 estabelece requisitos para um Sistema de Gestão de Segurança da Informação (SGSI). Para o controle de malware, a norma recomenda abordagens sistêmicas e formais, não apenas técnicas isoladas.

Os pilares principais incluem:

• Prevenção: Bloquear a entrada de ameaças.
• Detecção: Identificar infecções existentes.
• Resposta: Agir para remover a ameaça e recuperar dados.

Análise das Alternativas

Vamos examinar cada opção com base nas boas práticas de segurança:

• Alternativa A (Errada): Políticas de segurança devem ser sempre formais e documentadas, não informais. Além disso, a regra deve proibir softwares não autorizados, e não os autorizados.
• Alternativa B (Errada): A análise de sistemas críticos deve ser sistemática, regular e comprometida, garantindo a integridade dos dados. Análises esporádicas deixam janelas de vulnerabilidade.
• Alternativa C (Incorreta): Embora instalar antivírus seja correto, a parte final da frase ("independentemente da fabricante, procedência e confiabilidade") é falha. Em segurança, a confiabilidade do software é essencial; instalar ferramentas desconhecidas pode introduzir novas vulnerabilidades.
• Alternativa D (Correta): Esta é a diretriz recomendada. A norma exige a criação de uma política formal que defina regras claras para a importação de arquivos de fontes externas (redes, pen drives, downloads), estabelecendo medidas preventivas (como escaneamento antes do uso).
• Alternativa E (Errada): Ignorar arquivos não autorizados é negligente. A segurança exige monitoramento e ação diante de anomalias.

Conclusão

A alternativa D é a única que propõe uma medida estruturada (política formal) voltada para a prevenção da entrada de ameaças, alinhada com os princípios de defesa em profundidade e gestão de riscos da ISO 27001.