Empresas contratadas, treinamento e auditoria

A empresa A, uma empresa de vendas por catálogo, terceiriza a digitação de sua lista de clientes para a empresa B. O contrato prevê o dever de confidencialidade e medidas de gestão de segurança, e a empresa B também obteve a certificação ISMS. Certo dia, um funcionário da empresa B copiou dados de trabalho para um PC pessoal e os levou para casa, e a partir dali vazaram os nomes e endereços de cerca de 5,000 clientes. A empresa B pediu desculpas e relatou os detalhes, e diz que o funcionário envolvido foi punido. Você, líder do departamento de vendas da empresa A, vai explicar a política de resposta em uma reunião interna. Na reunião, surgiu a opinião de que “como a empresa B tinha obrigação contratual, nossa empresa não precisa se manifestar”. Qual das alternativas a seguir é a visão mais adequada sobre a responsabilidade da empresa A neste caso?

1. Terceirizar o tratamento de dados pessoais não elimina a responsabilidade da contratante, e a empresa A deve tomar a frente na decisão sobre o aviso às pessoas afetadas e o anúncio público
2. Como era a empresa B que de fato tratava as informações, tanto a comunicação à autoridade supervisora quanto a explicação das medidas para evitar a repetição são responsabilidade exclusiva da empresa B
3. A responsabilidade da empresa A fica cumprida ao pedir indenização à empresa B
4. Como o contrato de terceirização obrigava a empresa B a aplicar a gestão de segurança, pode-se dizer que a própria empresa A não precisa contatar as pessoas afetadas nem fazer um anúncio público

O departamento de assuntos gerais da empresa A está selecionando uma nova empresa contratada para o processamento da folha de pagamento. Como serão entregues nomes, números de conta bancária e salários dos funcionários, decidiu-se acrescentar a segurança da informação como critério de seleção, além do preço. Há três empresas candidatas, e cada uma respondeu a um formulário de verificação. O chefe de assuntos gerais diz: “acima de tudo, quero manter os custos baixos”, mas você, o líder, organizou as respostas para servir de base para a decisão. O resultado das respostas é o da tabela a seguir. Do ponto de vista da segurança da informação, qual das alternativas a seguir é o julgamento mais adequado?

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. Como a empresa Y pretende subcontratar parte do trabalho, excluí-la incondicionalmente da análise só por esse ponto, independentemente da avaliação dos outros itens
2. Como o preço proposto pela empresa X é o mais alto entre as candidatas, excluí-la da análise mesmo que ela atenda a todos os outros itens
3. Como a empresa Z tem o menor preço e também tem um responsável designado, escolhê-la partindo do pressuposto de que o treinamento dos funcionários e a aceitação de auditorias serão melhorados depois da assinatura do contrato
4. Como a empresa Y tem um procedimento de aprovação prévia para a subcontratação e aceita auditorias, torná-la candidata depois de confirmar como ela gerencia suas subcontratadas

A empresa A terceirizou a manutenção de seu sistema principal para a empresa B. O contrato diz: “Quando houver subcontratação, deve-se obter a aprovação prévia por escrito da contratante”. Certa tarde, um representante da empresa B ligou para você, líder de segurança da informação da empresa A, dizendo: “Estamos com falta de pessoal por causa de um período de muito trabalho e queremos que nossa parceira, a empresa C, ajude em parte do trabalho a partir de amanhã. É urgente, então podemos ter o seu ok verbal?” O trabalho da empresa C exige conexão ao ambiente de manutenção, que contém os dados de clientes da empresa A. A empresa B explica: “Temos um relacionamento antigo com a empresa C e não há problema”. O que você deve fazer primeiro?

1. Fazer a empresa A contratar diretamente a empresa C, passando por cima da empresa B, para estruturar o arranjo de modo que não conte como subcontratação
2. Como a própria proposta de subcontratação constitui quebra de contrato, rescindir imediatamente o contrato de terceirização com a empresa B
3. Pedir que apresentem por escrito o nome e o endereço da subcontratada, a empresa C, o escopo e o período do trabalho, o tipo de informação tratada e se a empresa C está sujeita, por contrato, a um dever equivalente de confidencialidade e de gestão de segurança
4. Como é urgente, dar a aprovação verbal na hora, por telefone, e receber depois do início do trabalho, de uma só vez, o documento escrito com o nome da subcontratada e o escopo do trabalho

A empresa A vai terceirizar pela primeira vez a central de atendimento de consultas para a empresa D, e você, o líder, revisou a minuta do contrato enviada pelo departamento jurídico. A minuta define o dever de confidencialidade, a proibição de uso para outros fins, a aprovação prévia para subcontratação e a obrigação de comunicar em caso de incidente. Por outro lado, não há cláusula sobre a devolução ou exclusão dos dados confiados no encerramento do contrato, nem cláusula sobre a aceitação de auditorias que permitam à empresa A confirmar a situação de implementação. O funcionário do departamento jurídico diz: “como é o contrato padrão deles, acrescentar cláusulas provavelmente seria difícil”. O trabalho terceirizado vai envolver nomes e dados de contato de clientes. Qual é a resposta mais adequada para você?

1. Como é o contrato padrão da outra parte, assiná-lo como foi apresentado, sem mudanças, e pedir verbalmente a exclusão dos dados no momento em que o contrato terminar
2. Antes de assinar, negociar para acrescentar, por meio de um memorando ou documento semelhante, a devolução ou exclusão dos dados no encerramento do contrato e a aceitação de verificação por documento ou por visita ao local
3. Como as cláusulas que faltam representam um risco significativo, desistir totalmente dessa terceirização e fazer todo o trabalho internamente
4. Dispensar a aceitação de auditorias, já que na prática não é usada, e acrescentar por memorando apenas a devolução ou exclusão dos dados no encerramento do contrato

A empresa A mantém a prática de enviar às empresas contratadas, uma vez por ano, uma lista de verificação, pedindo respostas sobre a situação de implementação acompanhadas de comprovantes. Também este ano chegou a resposta da empresa B, contratada para a digitação de dados, e, quando você, o líder, a revisou, todos os itens estavam respondidos como “implementado”. Porém, entre os comprovantes pedidos, só o item sobre o treinamento anual dos funcionários não foi enviado. O contato responsável na empresa B mudou no meio do ano, e a passagem de trabalho do contato anterior parece ter sido incompleta. As respostas e a situação dos comprovantes estão na tabela a seguir. O que deve ser feito primeiro?

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. Como a subcontratação foi respondida como “não há”, retirar a cláusula de subcontratação do contrato do ano que vem
2. Como a confiabilidade da resposta é duvidosa, fazer uma inspeção no local sem aviso prévio e verificar de novo todos os itens ali mesmo
3. Pedir que comprovantes do treinamento declarado, como registros de participação, sejam enviados até um prazo definido
4. Como todas as respostas são “implementado”, simplesmente arquivá-las como registro e não fazer nenhuma outra verificação até o ano que vem

O departamento de recursos humanos da empresa A está pensando em terceirizar para a empresa B, de fora, a tabulação e a análise de uma pesquisa de ambiente de trabalho feita em toda a empresa. Os dados que serão entregues à empresa B incluem nome, setor e respostas da pesquisa dos funcionários. Um funcionário do RH perguntou a você, o líder: “como os dados vão ser entregues a alguém de fora, não precisamos obter o consentimento individual de cada funcionário?” O plano de terceirização prevê definir no contrato a confidencialidade e as medidas de gestão de segurança e especificar o local de trabalho e a forma de armazenamento. Qual das alternativas a seguir é a explicação mais adequada?

1. Como a empresa contratada também está sujeita à Lei de Proteção de Informações Pessoais, toda a gestão dos dados depois da entrega é responsabilidade exclusiva da contratada, e a contratante não tem dever de supervisão
2. Fornecer dados pessoais como parte de uma terceirização não constitui fornecimento a terceiros e não exige o consentimento da pessoa, mas a contratante tem o dever de supervisionar a empresa contratada
3. Dados pessoais que não foram pseudonimizados ou anonimizados nunca podem ser entregues a alguém de fora, em nenhuma circunstância
4. Mesmo a terceirização constitui fornecimento a terceiros, então a terceirização não pode avançar sem obter o consentimento individual de cada funcionário

O departamento de vendas da empresa A usa um serviço de compartilhamento de arquivos em nuvem (SaaS) para compartilhar orçamentos e propostas. O fornecedor do serviço obteve a certificação ISMS e divulga a estrutura de gestão de seu data center. Certo dia, um cliente entrou em contato dizendo: “o orçamento de vocês aparece em uma busca na internet”. A investigação revelou que, quando um funcionário criou um link de compartilhamento, ele foi gerado com a configuração padrão “qualquer pessoa com o link pode visualizar” e tinha sido repostado em um blog externo. Um funcionário do departamento de vendas argumenta: “o problema está no serviço do fornecedor, então devemos pedir ao fornecedor que investigue a causa e evite a repetição”. Qual é a resposta mais adequada neste caso?

1. Como parece haver uma falha no escopo coberto pela certificação do fornecedor, apresentar uma reclamação formal por escrito ao organismo de certificação
2. Como o próprio uso da nuvem é a causa, proibir o uso de serviços de nuvem em toda a empresa e voltar para servidores próprios
3. Como o usuário não tem nenhuma responsabilidade ao usar um SaaS, pedir indenização ao fornecedor
4. Como a configuração do escopo de publicação está na área de responsabilidade do usuário, rever as configurações padrão da própria empresa A, a autoridade para gerar links e as práticas de verificação

Ao renovar o contrato com a empresa E, contratada para a logística, a empresa A organizou as cláusulas do contrato em uma lista. A revisão mostrou que, embora a maioria das cláusulas necessárias exista, algumas faltam ou são limitadas. A empresa E trata os nomes e endereços de entrega dos clientes da empresa A e pretende subcontratar parte do trabalho de entrega a uma empresa parceira. Você, o líder, está organizando, com base nessa lista, o que pedir na negociação da renovação. O resultado da revisão das cláusulas está na tabela a seguir. Qual das respostas da empresa A é inadequada neste caso?

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. Como comunicar em até 72 horas após a descoberta pode atrasar a resposta inicial, considerar definir separadamente um prazo mais curto para a primeira comunicação
2. Como há um dever de confidencialidade definido, basta que a empresa contratada gerencie suas subcontratadas, e a empresa A não precisa saber o nome nem o escopo de trabalho da subcontratada
3. Como não há cláusula sobre o tratamento dos dados no encerramento, pedir que o escopo e o prazo da devolução ou exclusão, e o envio de um relatório de conclusão, sejam acrescentados ao contrato renovado
4. Como as visitas ao local não são permitidas, definir previamente os tipos específicos de comprovantes a serem enviados para a verificação por documento

Às 6 da tarde de uma sexta-feira, você, líder de segurança da informação da empresa A, recebeu no celular uma ligação de um representante da empresa contratada B. “Um notebook usado no trabalho sumiu. Pode ter ficado em algum lugar do nosso escritório, então ainda não está confirmado que foi perdido”, disse. O notebook pode conter arquivos de trabalho com dados de clientes confiados pela empresa A. O representante da empresa B diz: “gostaríamos de fazer uma comunicação formal quando as coisas estiverem claras”. Pelo contrato da empresa A, a primeira comunicação deve ser feita em até 2 horas após a descoberta, incluindo a possibilidade de incidente, e o ponto de recebimento é a central de incidentes do departamento de sistemas de informação. O que deve ser feito primeiro?

1. Instruir o representante da empresa B a não informar ninguém, dentro ou fora da empresa, até os fatos serem confirmados
2. Como a perda ainda não está confirmada, esperar até segunda-feira de manhã para comunicar um superior e acompanhar a situação em silêncio, sem fazer contato nesse meio-tempo
3. Fazer imediatamente a primeira comunicação à central de incidentes da própria empresa e pedir que a empresa B envie uma primeira comunicação formal no formato definido e identifique as informações contidas no notebook
4. Sem esperar a semana seguinte, ir pessoalmente ao escritório da empresa B e procurar o notebook junto com o representante

Terminou a terceirização, por seis meses, da central de atendimento de uma campanha da empresa A para a empresa B. O trabalho envolvia nome, endereço e telefone de cerca de 20,000 inscritos. Chegou um e-mail da empresa B dizendo: “Todo o trabalho foi concluído. Os dados confiados serão tratados adequadamente de acordo com nossas normas.” O contrato determina que os dados confiados devem ser devolvidos ou excluídos no encerramento do contrato e que deve ser enviado um relatório de conclusão. Ao verificar com a empresa B, ela explicou que, além dos dados de trabalho, guarda backups diários em outro sistema. Qual é a resposta mais adequada para a empresa A?

1. Como a realização da exclusão pode ser confirmada na auditoria interna do ano que vem, por enquanto apenas manter registro de ter recebido o e-mail de comunicação
2. Depois de confirmar que os backups e as cópias de trabalho também estão incluídos no escopo, pedir o envio de um certificado de exclusão até um prazo definido
3. Como a empresa B é certificada e confiável, encerrar a terceirização sem pedir o envio de um certificado de exclusão
4. Como os backups foram criados pela empresa B para seus próprios fins operacionais, não é preciso incluí-los no escopo da exclusão

A empresa A realizou pela primeira vez um treinamento de e-mails de ataque direcionado. Quando um e-mail de treinamento disfarçado de mensagem de trabalho comum foi enviado a todos os funcionários, a taxa de abertura foi de 22%, enquanto as comunicações ao canal de comunicação chegaram a apenas 6%. Na reunião em que os resultados foram compartilhados, um chefe de departamento pediu: “por favor, me passe a lista com os nomes dos funcionários que abriram o e-mail. Quero orientá-los individualmente, citando os nomes, e refletir isso na avaliação de desempenho”. Você, o líder, sente que precisa explicar de novo o objetivo do treinamento. O treinamento deve continuar uma vez por ano daqui em diante. Qual é a resposta mais adequada para você?

1. Fornecer ao chefe de departamento, como pedido, a lista com os nomes dos funcionários que abriram o e-mail e colaborar com a orientação individual e com o reflexo na avaliação de desempenho
2. A partir da próxima vez, fazer o e-mail de treinamento de forma que seja obviamente reconhecível como treinamento, para que a taxa de abertura caia
3. Como uma taxa de abertura alta abala o moral na empresa, não divulgar os resultados e deixá-los apenas com o responsável
4. Não fornecer nomes; compartilhar os resultados como tendências por departamento e usar o método que mais causou aberturas como material de um treinamento que consolide o comportamento de comunicar

A empresa A realizou seu segundo treinamento de e-mails de ataque direcionado e tabulou os resultados por departamento. O e-mail de treinamento foi disfarçado de mensagem de trabalho comum, e foram medidas tanto as aberturas quanto as comunicações. A taxa de comunicação é o número de comunicações em relação ao número de e-mails enviados, e o tempo até a primeira comunicação é o tempo até que a primeira comunicação chegue ao canal. A meta da empresa era “taxa de abertura de 15% ou menos”, mas você, o líder, acha que não se deve julgar o que está bom ou ruim apenas pela taxa de abertura. O resultado da tabulação está na tabela a seguir. Qual das alternativas a seguir é a leitura mais adequada dos resultados?

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. A taxa de abertura da empresa como um todo está abaixo da meta de 15% e a taxa de comunicação também melhorou, então todos os treinamentos futuros devem ser suspensos
2. Para assuntos gerais e desenvolvimento, que têm taxa de abertura baixa, mas também taxa de comunicação baixa e primeira comunicação demorada, priorizar a divulgação do canal de comunicação e do procedimento de comunicação
3. Como assuntos gerais tem a menor taxa de abertura, pode-se dizer que está na melhor situação, e os outros departamentos devem ser avaliados como precisando imitar a forma de agir de assuntos gerais
4. Como vendas tem a maior taxa de abertura, os funcionários de vendas devem passar por um novo treinamento que inclua sanções disciplinares

A empresa A realiza todo ano, por e-learning, um treinamento de segurança da informação voltado apenas para os funcionários efetivos. Na prática, os funcionários temporários que fazem o trabalho de recepção e os funcionários de empresas contratadas alocados no local para o desenvolvimento também conseguem se conectar à rede interna e ver dados de clientes. Uma auditoria interna recente apontou que “parte das pessoas que têm acesso às informações não está coberta pelo treinamento”. O RH levantou a opinião de que, “como os temporários e os funcionários das contratadas não são nossos funcionários, o treinamento deles não é responsabilidade da agência de temporários ou da contratada?” Você, o líder, vai apresentar uma política de correção. Qual é a abordagem mais adequada?

1. Para os temporários, abrir mão do treinamento interno e tratar a questão apenas reduzindo o escopo de informações que eles podem ver
2. Julgar que, como os funcionários das contratadas estão sujeitos ao dever de confidencialidade pelo contrato de terceirização, o treinamento interno não é especialmente necessário
3. Deixá-los fora do escopo por causa do tipo diferente de vínculo e comunicar verbalmente que o treinamento fica a cargo da agência de temporários ou da contratada
4. Oferecer também aos temporários e aos funcionários das contratadas treinamento e termos de compromisso baseados no regulamento da própria empresa, de acordo com o grau de acesso deles às informações da empresa

A empresa A revisou seu regulamento sobre a retirada de informações para fora da empresa. Com a revisão, a retirada por pen drive, inclusive pessoal, passou a ser proibida em princípio, e o envio de arquivos para fora da empresa passou a exigir solicitação e aprovação do chefe por meio de um serviço de nuvem designado. A secretaria publicou o regulamento revisado na biblioteca de regulamentos da intranet e definiu a data de vigência como o dia 1º do mês seguinte. No entanto, em uma reunião de líderes das áreas, houve vários comentários como “não sabia que tinha sido publicado” e “nunca vi a nova tela de solicitação”. Faltam 3 semanas para a data de vigência. O que deve ser feito primeiro?

1. A divulgação já está completa quando o regulamento é publicado na biblioteca de regulamentos e anunciado internamente, então não é preciso fazer mais nada
2. Como ficou claro que as áreas não sabiam, cancelar a própria revisão do regulamento e voltar à operação anterior
3. Antes da data de vigência, levar aos envolvidos um resumo das mudanças, a data de vigência e o novo procedimento de solicitação, e realizar uma sessão para confirmar o entendimento
4. Depois da data de vigência, identificar quem violar o regulamento e dar orientação e advertência individual a essas pessoas

Você, líder da empresa A, organizou em uma lista o plano anual e os resultados do treinamento de segurança da informação deste ano fiscal. Ao organizar, descobriu que algumas categorias foram realizadas, enquanto outras não têm plano nenhum. Os administradores de sistemas lidam com IDs privilegiados, e os funcionários das contratadas alocados no local estão em posição de ver dados de clientes. Ao elaborar o plano do ano que vem, você precisa decidir o que atacar primeiro, considerando as horas de trabalho limitadas. O resultado organizado está na tabela a seguir. Qual das alternativas a seguir é a revisão mais adequada para o plano do ano que vem?

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. Definir como item de máxima prioridade do plano de treinamento do ano que vem passar o treinamento dos funcionários em geral de uma para duas vezes por ano
2. Priorizar a inclusão, no plano do ano que vem, do treinamento para administradores de sistemas e para funcionários temporários e de contratadas, para os quais hoje não existe plano nenhum
3. Como os novos funcionários têm taxa de participação de 100% e o treinamento está consolidado, suspender totalmente no ano que vem o treinamento presencial para novos funcionários
4. Abolir o treinamento presencial para gestores, que tem a menor taxa de participação, e concentrar todo o treinamento dos gestores em e-learning

A empresa A aplica um teste de compreensão no fim do treinamento anual, e este ano também os resultados de toda a empresa foram tabulados por tema. A taxa média geral de acertos subiu 2 pontos em relação ao ano anterior. Por outro lado, olhando por tema, a diferença é grande, e descobriu-se que um tema específico continua baixo. Nas áreas, continuam surgindo relatos de quase-acidentes envolvendo a retirada de dados por pen drive pessoal. Você, o líder, está analisando os resultados para refleti-los no plano de treinamento do ano que vem. O resultado da tabulação está na tabela a seguir. O que deve ser feito primeiro?

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. Como a taxa de acertos sobre o destino das comunicações de e-mails suspeitos subiu bastante, suspender o treinamento e as perguntas sobre esse tema a partir do ano que vem e usar esse tempo em outros temas
2. Para o tema do procedimento de solicitação de retirada, cuja taxa de acertos continua baixa, verificar se a explicação do material é insuficiente e se o próprio procedimento real de solicitação é difícil de usar
3. Retirar do teste do ano que vem as perguntas do tema com baixa taxa de acertos, elevando a taxa média geral de acertos
4. Como a taxa média geral de acertos subiu em relação ao ano anterior, usar no ano que vem o mesmo material e a mesma estrutura

A empresa A criou um manual de procedimentos de resposta a incidentes que supõe uma infecção por ransomware, mas não realizou nenhum exercício nos seis meses desde a criação. O manual define, entre outras coisas, o primeiro ponto de contato, quem decide o isolamento da rede e quem decide a divulgação pública. Um exercício real que de fato pare o sistema da empresa é difícil de realizar por causa do grande impacto na linha de produção. Cogitou-se terceirizar o exercício, mas o orçamento deste ano torna isso difícil. Você, o líder, ainda quer verificar se o manual pode realmente ser usado. Qual é a abordagem mais adequada?

1. Como simplesmente ler o manual juntos não tem sentido, esperar para fazer qualquer exercício até conseguir orçamento e então fazer um exercício real que pare o sistema de produção de verdade
2. Basta que o exercício seja feito só pelo departamento de sistemas de informação; a participação dos departamentos de negócios não é necessária
3. Distribuir um cenário hipotético, reunir as pessoas envolvidas e fazer um exercício de mesa em que cada um confirma, em ordem, as ações e decisões que tomaria em seguida, revelando dados de contato desatualizados e lacunas sobre quem é responsável pelas decisões
4. Se não for possível fazer um exercício real, dispensar totalmente os exercícios e substituí-los pela distribuição do manual a todos

Na empresa A, o responsável gerenciava os registros de participação no treinamento de segurança da informação em um arquivo de planilha em um PC pessoal. Quando essa pessoa foi transferida para outra função e organizou os arquivos, descobriu-se que faltavam os registros de participação de dois anos. Infelizmente, chegou um pedido da empresa F, cliente de um serviço terceirizado, para “enviar registros que mostrem a situação do treinamento oferecido aos seus funcionários”. O treinamento em si foi realizado todos os anos, e os materiais e os e-mails de convocação da época ainda existem. Você, o líder, precisa resolver tanto esse envio quanto a gestão dos registros daqui em diante. Qual é a abordagem mais adequada?

1. Como o treinamento em si foi realizado todos os anos, mesmo que os registros tenham sumido, basta explicar verbalmente que ele foi feito
2. Como os registros só existem para auditorias e para a verificação dos clientes, montá-los do zero cada vez que chegar um pedido
3. Definir no regulamento quem é responsável por guardar os registros, onde e por quanto tempo, mudando para um sistema que não dependa de uma única pessoa, e apresentar à empresa F os registros que existem, junto com um plano para evitar a repetição
4. Recriar uma lista dos participantes dos dois anos que faltam com base na memória dos participantes e de outras pessoas envolvidas, enviá-la à empresa F como o registro real de participação da época e continuar tratando os pedidos futuros da mesma forma

A empresa A realiza treinamentos de e-mails de ataque direcionado há três anos seguidos, refletindo os resultados no treinamento a cada vez. Na primeira rodada, muitos funcionários abriram o e-mail e quase ninguém comunicou, então a empresa se concentrou em divulgar o canal de comunicação e em explicar que comunicar não levaria a nenhuma culpa. Separadamente do treinamento, a empresa também registra a média mensal de e-mails suspeitos que os funcionários realmente recebem e comunicam ao canal. Na próxima reunião do comitê, você, o líder, vai relatar à direção a evolução dos 3 anos. A evolução está na tabela a seguir. Qual é o conteúdo mais adequado para o relatório?

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. Como a taxa de abertura é o único indicador que vale a pena avaliar, relatar que não houve resultado até que a taxa de abertura fique abaixo de 10%
2. Como a taxa de comunicação subiu, mas a taxa de abertura ainda não chegou a 0%, relatar que os três anos de treinamento não tiveram efeito
3. Como o número de comunicações de e-mails suspeitos realmente recebidos pelos funcionários continua aumentando, relatar que a consciência dos funcionários sobre segurança da informação, na verdade, está diminuindo
4. Relatar que, junto com a queda da taxa de abertura, continuaram o aumento da taxa de comunicação e a redução do tempo até a primeira comunicação, e que as comunicações reais de e-mails suspeitos também aumentaram, o que indica que o comportamento de comunicar está se consolidando

Na reunião anual do comitê de segurança da informação da empresa A, você, o líder, relata a situação do treinamento. Os relatórios anteriores se concentravam em fatos de implementação, como “foi realizado um e-learning, e a taxa de participação foi de 97%”, e a direção perguntou repetidas vezes: “e então, a empresa realmente ficou mais forte?” No ano que vem, você pensa em terceirizar parte do treinamento e refazer o material dos temas com baixa compreensão, e ambas as coisas exigem orçamento. Você tem em mãos a taxa de participação, a taxa de acertos do teste de compreensão por tema, a taxa de comunicação e o tempo até a primeira comunicação do treinamento, e a evolução do número e do tipo de incidentes. Qual é a forma mais adequada de relatar ao comitê?

1. Como a direção não precisa de detalhes, deixar de lado a evolução dos indicadores, o plano do ano que vem e o orçamento necessário e relatar apenas a conclusão de que não ocorreram grandes problemas
2. Apresentar a taxa de participação junto com a taxa de acertos do teste de compreensão por tema, a taxa de comunicação e o tempo até a primeira comunicação do treinamento, e a evolução do número e do tipo de incidentes, e propor o que mudar em seguida e quais recursos são necessários
3. Como o efeito do treinamento não pode ser expresso em números, relatar apenas o número de sessões realizadas e o número de participantes
4. Mostrar apenas a taxa de participação e explicar que não chegar a 100% se deve à baixa consciência nas áreas

A empresa A realiza uma auditoria interna de segurança da informação uma vez por ano. O escopo da auditoria deste ano inclui o mecanismo de gestão de permissões de acesso que o próprio departamento de sistemas de informação projetou e opera. Na reunião para decidir quem vai realizar a auditoria, a secretaria propôs: “como o departamento de sistemas de informação é quem melhor conhece o mecanismo, seria eficiente que o chefe desse departamento cuidasse da auditoria”. O próprio chefe também diz: “eu conseguiria verificar isso rapidinho”. Você, o líder, tem preocupações com essa proposta. Qual é a abordagem mais adequada?

1. Como a auditoria interna é apenas uma atividade formal, dispensá-la desta vez e substituí-la pelos resultados de uma avaliação externa feita por um organismo de certificação
2. Como a independência é apenas um requisito formal, seguir com a proposta da secretaria como está, e basta anotar no relatório de auditoria que a independência foi considerada
3. Como o funcionário que mais conhece o mecanismo tem mais chances de encontrar falhas, seguir com a proposta da secretaria e deixar o chefe do departamento de sistemas de informação cuidar da auditoria
4. Deixar a auditoria a cargo do departamento de auditoria, de um especialista externo ou de alguém que não pertença ao departamento auditado, com o departamento de sistemas de informação na posição de fornecer explicações e evidências

A empresa A vai começar este ano, pela primeira vez, auditorias internas de segurança da informação, e um funcionário de assuntos gerais foi nomeado auditor. Esse funcionário diz: “pretendo visitar cada departamento e apontar na hora qualquer coisa que me chamar a atenção”. A empresa tem um regulamento de segurança da informação e vários manuais de procedimentos, e os contratos com as empresas contratadas incluem cláusulas sobre gestão de segurança. Os resultados da auditoria serão relatados à direção, e serão pedidas ações corretivas para os apontamentos. Você, o líder, teme que os departamentos auditados não se convençam com essa abordagem. O que deve ser feito primeiro?

1. Obter o relatório de auditoria de outra empresa e adotar os apontamentos escritos ali, como estão, como apontamentos da própria empresa
2. Visitar cada departamento, listar o que chamar a atenção e escolher como apontamentos os itens que parecerem importantes
3. Definir previamente o escopo da auditoria e os critérios de auditoria com base nos quais será julgado o que está bom ou ruim (o regulamento da própria empresa, os manuais de procedimentos, as cláusulas contratuais, as leis)
4. Como avisar os departamentos com antecedência permite que eles se preparem, fazer a auditoria de surpresa, sem informar o escopo nem a programação, e apontar apenas o que for observado na hora

A empresa A gerencia os apontamentos da auditoria interna em uma lista, verificando todo mês a categoria, o prazo de correção e o andamento. As categorias são “não conformidade”, que não atende a um regulamento ou requisito, e “oportunidade de melhoria”, que não é uma violação, mas poderia ser feita de forma melhor. Hoje é 20 de outubro, e você, o líder, organizou a situação antes da reunião de acompanhamento. Alguns itens não estão avançando, e alguns até já passaram do prazo. A situação atual está na tabela a seguir. Qual item deve ser atacado primeiro?

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. Concentrar-se em concluir primeiro a elaboração do procedimento do No.3, que ainda tem dias até o prazo
2. Começar a exclusão da conta do ex-funcionário do No.1, que já passou do prazo e ainda não tem ninguém designado
3. Para o problema do No.5, documentos deixados na sala de reunião, emitir um novo aviso de alerta para toda a empresa
4. Começar, antes dos outros itens, o ajuste da redação do regulamento sobre o período de guarda dos registros de treinamento do No.4

O departamento de vendas da empresa A recebeu, na auditoria interna do ano passado, o apontamento de que “as permissões de acesso no departamento anterior de um funcionário transferido não tinham sido removidas”. Vendas removeu na hora as permissões da pessoa em questão, informou ao departamento de auditoria que “o funcionário envolvido foi advertido” e considerou o caso corrigido. Mesmo assim, a auditoria deste ano gerou o mesmo apontamento em 3 casos diferentes. A investigação mostrou que as transferências são processadas no sistema de RH, mas a remoção das permissões de acesso funciona de forma que os funcionários de cada departamento pedem a remoção quando por acaso percebem, e o manual de procedimentos não descreve nenhuma etapa de remoção. Você, o líder, quer acabar de vez com a repetição desta vez. Qual é a abordagem mais adequada?

1. Como se repetiu apesar da advertência do ano passado, punir, com base no regulamento de trabalho, o funcionário que deixou de remover as permissões antigas
2. Fazer todo ano, logo antes da auditoria, um inventário e uma remoção em lote das permissões de acesso desnecessárias, para evitar o apontamento também no ano seguinte
3. Como esse apontamento se repete todo ano, pedir com firmeza ao departamento de auditoria que o exclua dos apontamentos por ser inevitável na prática
4. Incorporar a remoção das permissões antigas ao procedimento de transferência como etapa obrigatória e confirmar sua execução com um inventário trimestral

O departamento de vendas da empresa A vai passar na semana que vem por uma auditoria interna sobre “retirada e guarda de informações de clientes”. Na prática, alguns funcionários de vendas, achando trabalhoso o procedimento oficial de solicitação, vêm salvando listas de clientes em um armazenamento em nuvem contratado pessoalmente, sem obter a aprovação do chefe. O chefe do departamento de vendas instruiu em uma reunião do departamento: “como uma avaliação ruim na auditoria seria um problema, não mencionem isso a menos que perguntem”. Você, o líder, está em dúvida se deve seguir essa instrução. Depois da auditoria, será exigido o envio de um plano de correção. Qual é a abordagem mais adequada?

1. Aconselhar o chefe do departamento a explicar a situação real e o número de casos sem esconder nada, junto com a causa de fundo — o procedimento oficial ser difícil de usar — e um plano de correção
2. Apagar todos os arquivos do armazenamento em nuvem contratado pessoalmente antes da data da auditoria e explicar como se essa prática nunca tivesse existido
3. Seguir a instrução do chefe do departamento, responder de forma superficial apenas o que for perguntado especificamente e não levantar a situação real por iniciativa própria
4. Como a auditoria é só uma formalidade, limitar-se a enviar os registros pedidos e excluir da participação os funcionários que conhecem a situação real

Na auditoria interna da empresa A, o auditor entrevistou um funcionário do departamento de negócios sobre as práticas de operação e também verificou os registros que as comprovam. O funcionário explicou, para todos os itens, que “é feito de acordo com o regulamento”, mas a situação dos registros variava de item para item. O auditor entende que as explicações e os registros devem ser conferidos entre si para se chegar a um julgamento. O resultado da verificação está na tabela a seguir. Qual é o julgamento mais adequado para o auditor?

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. Para os itens sem registro, fazer o auditor entrevistar o funcionário em detalhe e criar um novo livro de controle, tratando-o, como está, como trilha de auditoria
2. Como as áreas explicam que o procedimento é cumprido, julgar que não há problema, independentemente de existirem registros
3. Para o formulário de solicitação com o campo de aprovação em branco e para as retiradas que dependem da memória, sem livro de controle, apontar insuficiência de trilha de auditoria, já que não é possível confirmar a execução
4. Para os registros de entrada e saída e o treinamento, que têm registros, também fazer um apontamento, porque a explicação do funcionário sozinha é insuficiente

A empresa A faz todo ano uma auditoria interna de segurança da informação e produz um relatório de auditoria. No entanto, o relatório é apenas arquivado pela secretaria, sem nenhuma instância para apresentá-lo à direção, e não é refletido no plano nem no orçamento do ano seguinte. Como resultado, quase os mesmos apontamentos aparecem ano após ano, e nas áreas se ouve que “de qualquer forma, nada muda”. A auditoria deste ano também acabou de terminar, e você, o líder, acabou de receber o relatório. Qual é a abordagem mais adequada?

1. Julgar que, como os resultados da auditoria são assunto das operações nas áreas, não há necessidade de relatá-los à direção
2. Como a auditoria é uma atividade de verificação, considerar que o PDCA completou um ciclo simplesmente por ter feito a auditoria
3. Como os mesmos apontamentos aparecerem todo ano se deve à visão fixa do auditor, trocar os itens de auditoria a cada ano para que os mesmos apontamentos não se repitam
4. Criar uma instância de análise crítica pela direção, em que a direção analisa os resultados da auditoria, a ocorrência de incidentes e o grau de alcance das metas, e refletir suas decisões no plano e na alocação de recursos do ano que vem

A pedido de um cliente, a empresa A está buscando pela primeira vez a certificação ISMS. O funcionário da secretaria propõe: “como o objetivo é passar na avaliação, vamos tomar como modelo o regulamento bem-acabado de outra empresa para que o nosso pareça ideal, e também refazer os registros para que pareçam bem organizados na avaliação”. Em alguns pontos, as operações reais são mais frouxas do que a minuta do regulamento — por exemplo, os registros de entrada e saída são lançados em lotes semanais, e não a cada vez. A avaliação verifica tanto o regulamento quanto as operações reais. Você, o líder, tem preocupações com essa abordagem. Qual é a abordagem mais adequada?

1. Abolir o regulamento para se adequar às operações nas áreas, deixando as coisas para o julgamento caso a caso
2. Ajustar o regulamento ao que a empresa realmente consegue cumprir, para que os registros gerados pelas operações do dia a dia possam ser apresentados como estão como evidência
3. Nas partes em que o regulamento e as operações divergem, operar de acordo com o regulamento apenas durante o período da avaliação e voltar às operações anteriores quando a avaliação terminar
4. Como o objetivo é passar na avaliação, redigir um regulamento novo e de aparência ideal, arrumar também os registros para a avaliação e apresentá-los

A empresa A passou por uma avaliação externa e recebeu um relatório do organismo avaliador. O relatório classifica os apontamentos em categorias, e a resposta exigida e o prazo variam conforme a categoria. O funcionário da secretaria diz: “como são muitos itens, talvez devêssemos tratar apenas os que têm prazo explícito”. Você, o líder, decide organizar o que cada categoria significa antes de definir a política de resposta. O conteúdo do relatório está na tabela a seguir. Qual das respostas da empresa A seria inadequada?

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. Como as 5 oportunidades de melhoria não têm prazo e a resposta é opcional, não guardar nenhum registro delas e nem sequer analisá-las
2. Criar um mecanismo interno para acompanhar se as ações corretivas foram executadas dentro dos prazos
3. Como as 3 não conformidades menores também exigem correção, designar um responsável e um prazo interno para cada uma
4. Para a não conformidade maior, começar imediatamente a análise de causa e se preparar para enviar um plano de correção em até 30 dias

A auditoria interna da empresa A gerou um apontamento de não conformidade: “os logs de operação do sistema principal são guardados por apenas uma semana, então, se houver suspeita de fraude, não há como rastrear para trás”. A correção exige armazenamento adicional e uma mudança de configuração, com custo estimado de vários milhões de ienes. O departamento de sistemas de informação respondeu: “não podemos avançar porque não está no orçamento deste ano fiscal”, e restam apenas 2 meses até o prazo de correção. Você, o líder, pediu providências três vezes sem nenhuma mudança na situação e sente que isso não pode ser resolvido apenas com a coordenação entre departamentos. Qual é a abordagem mais adequada?

1. Tratar o caso como decisão do próprio departamento de sistemas de informação de aceitar o risco e fazer o líder registrá-lo como corrigido
2. Pedir ao departamento de auditoria que retire esse apontamento por enquanto e combinar que ele seja levantado de novo, com o mesmo conteúdo, no próximo ano fiscal, quando houver orçamento
3. Como nada pode ser feito sem orçamento, continuar prorrogando o prazo de correção e relatar a situação como “em andamento”
4. Organizar o impacto previsto se o rastreamento continuar impossível, os recursos necessários e quem aceitaria o risco se a resposta for adiada, e então escalar para a direção decidir