Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — CESPE / CEBRASPE 2023

Gestão de Riscos de Segurança da Informação (ISO/IEC 27005)

✅ CERTO. A afirmação está correta: o gerenciamento de riscos é um processo contínuo e iterativo, que se aplica a todas as fases operacionais da organização, incluindo aquelas em que as consequências de um risco específico são aceitas. Essa característica está alinhada ao ciclo PDCA (Planejar, Executar, Verificar, Agir) do SGSI e às diretrizes da norma ABNT NBR ISO/IEC 27005, que descreve o processo de gestão de riscos de segurança da informação como uma atividade contínua, com monitoramento e revisão constantes.

O gerenciamento de riscos não é um evento pontual, mas um processo contínuo e iterativo. A norma ABNT NBR ISO/IEC 27005 fornece diretrizes para o processo de Gestão de Riscos de Segurança da Informação (GRSI), descrevendo suas atividades em um ciclo que se repete. Esse ciclo é composto por etapas como: estabelecimento do contexto, avaliação de riscos (identificação, análise e avaliação), tratamento de riscos, comunicação e consulta, e monitoramento e revisão. O monitoramento e a revisão contínuos são essenciais para garantir que o processo se mantenha eficaz e que os riscos sejam gerenciados de forma adequada ao longo do tempo.

A relação entre o processo de gestão de riscos e o ciclo PDCA do SGSI é direta. No planejamento (PLANEJAR), temos a definição do contexto, a avaliação de riscos, a definição do plano de tratamento e a aceitação do risco. Na execução (EXECUTAR), implementa-se o plano de tratamento. Na verificação (VERIFICAR), ocorre o monitoramento contínuo e a análise crítica dos riscos. E no agir (AGIR), mantém-se e melhora-se o processo de gestão de riscos. Essa estrutura demonstra que a gestão de riscos permeia todas as fases operacionais, inclusive a fase de aceitação do risco, que é uma decisão formal de assumir um risco residual, mas que não encerra o processo — o risco aceito continua sendo monitorado e revisado.

A aceitação do risco é uma das opções de tratamento de riscos, ao lado da modificação, retenção, compartilhamento e evitação do risco. Quando um risco é aceito, isso não significa que ele deixou de ser gerenciado; pelo contrário, ele passa a ser monitorado continuamente, pois mudanças no contexto, nas ameaças ou nas vulnerabilidades podem alterar o nível de risco e exigir uma nova decisão de tratamento. Portanto, a afirmação está correta ao dizer que o gerenciamento de riscos se aplica a todas as fases operacionais, incluindo aquelas em que as consequências de um risco específico são aceitas.

A pegadinha da banca, aqui, é tentar fazer o candidato acreditar que a aceitação do risco encerra o processo de gestão de riscos. Na verdade, a aceitação é apenas uma etapa dentro de um ciclo contínuo. O risco aceito continua sendo monitorado e revisado, e o processo de gestão de riscos permanece ativo em todas as fases operacionais. Guarde essa ideia: a gestão de riscos é um ciclo contínuo, e a aceitação do risco não é um ponto final, mas uma decisão dentro de um processo que nunca para.

Item — ✅ Correto ⟵ GABARITO

A afirmação está correta. O gerenciamento de riscos é um processo contínuo que se aplica a todas as fases operacionais, incluindo aquelas em que as consequências de um risco específico são aceitas. Isso está alinhado ao ciclo PDCA do SGSI e às diretrizes da norma ABNT NBR ISO/IEC 27005, que descreve o processo de gestão de riscos como uma atividade contínua, com monitoramento e revisão constantes. A aceitação do risco é uma das opções de tratamento, mas não encerra o processo — o risco aceito continua sendo monitorado e revisado.

Gabarito: ✅ CERTO.