Questão de Segurança da Informação — Norma 27005 — CESPE / CEBRASPE 2022

NBR ISO/IEC 27005 — Monitoramento e Análise Crítica de Riscos

Gabarito: letra B. De acordo com a ABNT NBR ISO/IEC 27005, no item 12.2, o monitoramento cotidiano e a análise crítica são necessários para assegurar que o contexto, o resultado da avaliação de riscos e do tratamento do risco permaneçam relevantes e adequados. As opções selecionadas para o tratamento de riscos constituem justamente o resultado do tratamento, sendo, portanto, objeto de análise crítica periódica.

O item 12.2 da norma estabelece:

Alternativa A — ❌ Incorreta

Embora novos ativos possam ser incorporados ao escopo da gestão de riscos, a análise crítica periódica exigida pela norma foca nos resultados da avaliação e do tratamento dos riscos, e não especificamente na inclusão de novos ativos. A menção a "fatores de riscos" no enunciado remete diretamente ao monitoramento do tratamento e da avaliação, conforme o item 12.2.

Alternativa B — ✅ Correta ⟵ GABARITO

Conforme o item 12.2, a análise crítica deve assegurar que o "resultado do processo de avaliação de riscos e do tratamento do risco" permaneça relevante. As opções selecionadas para o tratamento (modificação, retenção, evitação, compartilhamento) são exatamente o resultado do tratamento, devendo ser periodicamente analisadas para verificar sua eficácia e adequação às circunstâncias atuais.

Alternativa C — ❌ Incorreta

Incidentes de segurança da informação são tratados em normas específicas (como a ISO/IEC 27035). A análise crítica de riscos considera a probabilidade e o impacto de incidentes potenciais, mas não se restringe a incidentes já ocorridos. O foco do monitoramento está nos riscos e no tratamento, não nos incidentes em si.

Alternativa D — ❌ Incorreta

A exposição de vulnerabilidades já identificadas a novas ameaças é um aspecto que pode surgir durante a avaliação de riscos, mas a análise crítica periódica não se limita a esse cenário. O item 12.2 determina que o contexto, a avaliação e o tratamento como um todo sejam monitorados.

Alternativa E — ❌ Incorreta

Novas ameaças ainda não avaliadas devem ser identificadas e incorporadas ao processo de avaliação de riscos, mas a análise crítica periódica sobre os fatores de riscos abrange também as opções de tratamento já selecionadas. A alternativa B é mais direta e alinhada com o texto da norma.

Conclusão: A única alternativa que corresponde exatamente ao que a norma estabelece como objeto de análise crítica periódica é a letra B, referente às opções selecionadas para o tratamento de riscos.