Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — CESPE / CEBRASPE 2025

Gestão de Riscos – Critérios de Impacto

Gabarito: letra C. A definição de critérios básicos de impacto, conforme a ISO/IEC 27005, deve considerar as consequências financeiras para a organização, como perda de oportunidades de negócio e valor financeiro. Esse item é essencial na etapa de definição do contexto, onde os critérios de avaliação de riscos são estabelecidos.

Alternativa A — ❌ Incorreta

Expectativas e percepções das partes interessadas são relevantes na comunicação e consulta, mas não são critérios básicos de impacto baseados no montante de danos ou custos.

Alternativa B — ❌ Incorreta

Diferentes critérios para a aceitação do risco são definidos no contexto, mas não se referem especificamente aos critérios de impacto; estes tratam da magnitude das consequências, enquanto a aceitação envolve limites de tolerância.

Alternativa C — ✅ Correta ⟵ GABARITO

A perda de oportunidades de negócio e de valor financeiro são exemplos típicos de impacto financeiro que devem ser considerados na definição dos critérios de impacto, conforme diretrizes da gestão de riscos de segurança da informação.

Alternativa D — ❌ Incorreta

Recursos para monitoramento de controles são parte da atividade de monitoramento e análise crítica, não da definição de critérios de impacto.

Alternativa E — ❌ Incorreta

O plano de tratamento dos riscos é uma saída da etapa de tratamento do risco, não um insumo para a definição de critérios de impacto.