Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — CESPE / CEBRASPE 2022

Gestão de Riscos de Segurança da Informação

Gabarito: ERRADO. A afirmação de que o tratamento do risco "limita-se a reduzir os riscos e definir o plano de tratamento do risco" é incorreta, pois, de acordo com as diretrizes da ISO 27005, as opções de tratamento incluem modificar (reduzir), evitar, compartilhar e reter (aceitar) os riscos. Além disso, o tratamento envolve a implementação do plano, monitoramento e revisão, não se limitando apenas à sua definição.

A banca cobra o conhecimento das opções de tratamento de risco, que são mais abrangentes do que apenas "reduzir". O erro está em restringir o tratamento a uma única opção e à fase de planejamento.

Análise detalhada:

A afirmação diz que o tratamento do risco "limita-se a reduzir os riscos e definir o plano de tratamento do risco". Isso está errado por dois motivos:

1. Opções de tratamento: A ISO 27005 estabelece que as opções de tratamento são:

   • Modificar o risco (reduzir a probabilidade e/ou consequência por meio de controles);

   • Evitar o risco (eliminar a atividade que dá origem ao risco);

   • Reter o risco (aceitar o risco residual, após avaliação);

   • Compartilhar o risco (transferir parte do risco, como por seguros ou terceirização).

A afirmação menciona apenas "reduzir", que corresponde à opção "modificar", ignorando as demais possibilidades.

1. Definição do plano de tratamento: Embora a definição do plano de tratamento seja uma etapa do processo, o tratamento não se limita a defini-lo. O ciclo PDCA da gestão de riscos inclui a implementação do plano (fase "Executar"), o monitoramento contínuo (fase "Verificar") e a melhoria (fase "Agir"). Portanto, o tratamento vai muito além da simples definição.

Assim, a afirmativa está ERRADA.

Conclusão: ❌ ERRADO — o tratamento do risco é mais amplo, englobando múltiplas opções (MERC) e fases além da definição do plano.