Questão de Segurança da Informação — Norma 27005 — CESPE / CEBRASPE 2022
Segurança da Informação›Norma 27005
Código
ce134626
Banca
CESPE / CEBRASPE
Órgão
DPE-RO
Ano
2022
Nível
Superior
Cargo
Analista da Defensoria Pública - Redes e Comunicação de Dados
Na gestão de riscos e continuidade de negócio à luz da NBR ISO/IEC n.° 27005:2011, o processo de avaliação de riscos inclui
Aidentificação de riscos e análise de riscos.
Baceitação de riscos e tratamento de riscos.
Ctratamento de riscos e transferência do risco.
Destabelecimento do contexto e tratamento de riscos.
Eidentificação de riscos e mitigação de riscos.
Revelar gabarito e comentário▾
GabaritoA — identificação de riscos e análise de riscos.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Processo de Avaliação de Riscos (NBR ISO/IEC 27005:2011)
Gabarito: letra A. Segundo a NBR ISO/IEC 27005:2011, o processo de avaliação de riscos divide-se em duas etapas principais: identificação de riscos e análise de riscos. Essas fases compõem o núcleo da avaliação, enquanto atividades como tratamento, aceitação e estabelecimento do contexto são fases distintas do ciclo de gestão de riscos. A estrutura PDCA apresentada na norma reforça essa separação, colocando a avaliação de riscos no planejamento, antes do tratamento e da aceitação.
1Estabelecimento do contexto
2Avaliação de riscos
3Tratamento de riscos
4Aceitação de riscos
LEVEL · soulevel.com.br
Alternativa A — ✅ Correta ⟵ GABARITO
A alternativa descreve exatamente as duas etapas que integram o processo de avaliação de riscos: identificação de riscos (reconhecimento de ameaças, vulnerabilidades e ativos) e análise de riscos (avaliação das consequências e probabilidades, e determinação do nível de risco). A norma ISO 27005:2011 define a avaliação de riscos como a combinação dessas atividades.
Alternativa B — ❌ Incorreta
Aceitação de riscos e tratamento de riscos são fases posteriores à avaliação. A aceitação ocorre após o tratamento, quando os riscos residuais são formalmente aceitos pela gestão. O tratamento de riscos (modificação, retenção, evitação ou compartilhamento) vem depois da avaliação. Misturar essas etapas com a avaliação fere a sequência do processo.
Alternativa C — ❌ Incorreta
Tratamento de riscos e transferência do risco são ações de tratamento, não de avaliação. A transferência (compartilhamento) é uma das opções de tratamento; não faz parte da avaliação de riscos.
Alternativa D — ❌ Incorreta
Estabelecimento do contexto é a primeira fase do processo de gestão de riscos, anterior à avaliação. O tratamento de riscos, como dito, vem após a avaliação. A alternativa mistura fases que estão em momentos diferentes do ciclo.
Alternativa E — ❌ Incorreta
Identificação de riscos está correta, mas mitigação de riscos é uma ação de tratamento (modificação do risco). A avaliação não inclui a mitigação; ela se limita a identificar e analisar os riscos, deixando a mitigação para a fase de tratamento.
PEGA ESSA DICA!
Memorize a sequência do processo de gestão de riscos segundo a ISO 27005: 1. Estabelecimento do contexto; 2. Avaliação de riscos (identificação → análise); 3. Tratamento de riscos; 4. Aceitação de riscos. Essa ordem clássica ajuda a eliminar alternativas que misturam fases.