Questão de Segurança da Informação — Norma 27005 — CESPE / CEBRASPE 2024

Gestão de Riscos – ABNT NBR ISO/IEC 27005

Gabarito: ❌ ERRADO. A afirmação confunde o conceito de risco com o de ameaça. Na ISO 27005, risco é definido como a combinação da probabilidade de ocorrência de uma ameaça com o impacto resultante da exploração de vulnerabilidades sobre ativos. Já a ameaça é a fonte de um potencial dano, ou seja, algo com capacidade de causar perda. A frase do enunciado descreve justamente uma ameaça, não um risco.

A norma ISO/IEC 27005 adota as definições da ISO/IEC 27000, que distingue claramente:

• Ameaça: causa potencial de um incidente indesejado, que pode resultar em dano a um sistema ou organização.

• Risco: efeito da incerteza nos objetivos, expresso em termos de probabilidade e consequência.

Portanto, a assertiva está errada por trocar os conceitos. É uma pegadinha clássica de banca: apresentar definição de ameaça como se fosse risco.

❌ ERRADO.