Questão de Segurança da Informação — ISO 27002 — CESPE / CEBRASPE 2021
Segurança da Informação›ISO 27002
Código
ce119506
Banca
CESPE / CEBRASPE
Órgão
CODEVASF
Ano
2021
Nível
Superior
Cargo
Analista em Desenvolvimento Regional - Tecnologia da Informação
Considerando as disposições das normas ISO 27001, ISO 27002 e NBR ISO/IEC 27005, julgue o item a seguir.Os tomadores de decisão podem aceitar riscos que não satisfaçam os critérios formalmente estabelecidos pela organização para a aceitação de riscos.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoC — Certo
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Aceitação de riscos na gestão de riscos de segurança da informação (ISO 27001/27005)
Gabarito: Certo. A afirmativa está correta. Os tomadores de decisão (alta direção) podem, sim, aceitar riscos que não satisfaçam os critérios formalmente estabelecidos para aceitação, desde que essa decisão seja devidamente documentada e aprovada, conforme o processo de tratamento de riscos da NBR ISO/IEC 27001 e as diretrizes da ISO 27005. A palavra "podem" denota possibilidade, não obrigatoriedade — exatamente o que a norma permite.
No contexto dos sistemas de gestão de segurança da informação (SGSI), a organização define critérios de aceitação de riscos (ex.: nível de risco aceitável). Contudo, o tratamento de riscos não é automático: a alta direção pode, em situações excepcionais, decidir aceitar um risco que ultrapasse esses critérios, assumindo o ônus. Esse ato é formalizado no plano de tratamento de riscos e requer análise crítica. A ISO 27001 (itens 6.1.3 e 8.2) e a ISO 27005 tratam da aceitação como uma das opções de tratamento, sem condicioná-la exclusivamente aos critérios predefinidos.
NÃO CAIA NESSA!
Muitos candidatos tendem a marcar "Errado" por acreditarem que todo risco deve obrigatoriamente ser tratado até se enquadrar nos critérios de aceitação. A banca explora essa falsa impressão: a norma admite exceções, desde que formalmente aprovadas. Lembre-se: o gestor pode aceitar riscos acima do limiar, mas com a devida documentação e autorização.
Conclusão: a afirmativa está em conformidade com os princípios de gestão de riscos das normas ISO 27001 e 27005. ✅ CERTO ⟵ GABARITO.