Questão 60 · Informática: Segurança da informação
De acordo com a Norma ABNT NBR ISO/IEC 27005, assinale a opção correta a respeito da gestão de risco de TI.
- A) Na etapa de definição do contexto, a organização busca atingir seus objetivos; nela, são determinados os valores dos ativos da organização, identificadas as ameaças e vulnerabilidades existentes e determinadas as potenciais consequências dessas ameaças e vulnerabilidades.
- B) A presença de uma vulnerabilidade é sempre uma ameaça à segurança da informação. A identificação das vulnerabilidades é realizada na etapa de análise/avaliação de riscos.
- C) Na etapa de aceitação de risco, lida-se com modelos predefinidos de escalas de níveis, dentre os quais a organização deve optar pelo mais adequado aos seus negócios.
- D) Na etapa de monitoramento de riscos, recomenda-se que as vulnerabilidades e os riscos sejam reavaliados periodicamente, entre um mês e um semestre.
- E) A etapa de tratamento de risco conta com as seguintes opções, não excludentes entre si: redução, retenção, evitação e transferência de risco.
Marque a alternativa correta:
Gabarito: E
Gabarito definitivo divulgado pela banca Cebraspe (TRE/BA 2017).
Comentário
Gabarito: E.
A ABNT NBR ISO/IEC 27005 prevê, no tratamento do risco, as opções de modificação (redução), retenção, evitação e compartilhamento (transferência). Elas não são excludentes entre si: a organização pode combiná-las, por exemplo reduzindo parte do risco e transferindo o restante. Por isso a alternativa E está correta.
- A: a definição do contexto estabelece escopo, limites e critérios do processo; determinar valores de ativos, ameaças, vulnerabilidades e consequências é trabalho da análise/avaliação de riscos.
- B: a presença de vulnerabilidade não é sempre ameaça. Vulnerabilidade é fragilidade de um ativo, e ameaça é a causa potencial de um incidente; o risco surge quando uma ameaça pode explorar a vulnerabilidade. O erro está na palavra "sempre" e na confusão entre os dois conceitos.
- C: a aceitação do risco consiste em decidir, com base nos critérios definidos, quais riscos residuais a organização aceita; a escolha de escalas de níveis é parte da definição de critérios e da análise.
- D: a norma exige monitoramento e análise crítica contínuos dos riscos, mas não fixa o intervalo de um mês a um semestre.
Dica: em ISO 27005, confira se a atividade descrita pertence à etapa citada.
Fundamentos: ABNT NBR ISO/IEC 27005: etapas da gestão de riscos (contexto, identificação, análise/avaliação, tratamento, aceitação e monitoramento) · Opções de tratamento de risco: modificação (redução), retenção, evitação e compartilhamento (transferência)
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe TRE/BA 2017 (Técnico Judiciário – Área: Apoio Especializado – Especialidade: Programação de Sistemas), questão 60, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.