No que concerne às políticas de segurança e às normas per...

A primeira parte da questão:
"A implantação e a gestão de um sistema de gestão de segurança da informação permitem que as organizações adotem um modelo adequado de estabelecimento, implementação, operação, monitoração e revisão..."
está correta. Não é pela a falta do "manter e melhorar" que a tornaria incorreta, até porque não houve nenhum termo taxativo (apenas, somente...).

Já a segunda parte:
"...garantindo que os requisitos de segurança sejam atendidos."
está incorreta, pois a implantação e gestão de um SGSI não garante o atendimento dos requisitos. O que ele faz é a gestão da SI, tentando minimizar ao máximo que qualquer tipo de risco ocorra e prejudique a organização.

Gotaria q alguem me explicasse a resposta fornecida como certa.