Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — CESPE / CEBRASPE 2022

Gestão de Riscos de Segurança da Informação

Gabarito: Errado (alternativa E). O item está incorreto porque confunde as fases do processo de gestão de riscos. A identificação e a estimativa (análise) dos riscos fazem parte da avaliação de riscos, e não do tratamento de riscos. O tratamento de riscos é a etapa posterior, que envolve modificar, reter, evitar ou compartilhar os riscos já avaliados.

A norma ABNT NBR ISO 27005, que trata da Gestão de Riscos de Segurança da Informação (GRSI), define claramente as etapas:

• Avaliação de riscos: subdividida em identificação de riscos, análise de riscos e avaliação de riscos. É nessa fase que se identificam ameaças, vulnerabilidades, consequências e se estimam os níveis de risco.

• Tratamento de riscos: após a avaliação, decide-se como lidar com os riscos (modificação, retenção, evitação, compartilhamento) e implementa-se o plano de tratamento.

O enunciado diz: "É por meio do tratamento de riscos que se identificam e se estimam os riscos...". Isso está trocado: a identificação e a estimativa ocorrem na avaliação, não no tratamento. Portanto, o item é falso.

❌ ERRADO.