Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — CESPE / CEBRASPE 2023

ABNT NBR ISO/IEC 27005: gestão de riscos em segurança da informação

✅ CERTO. A afirmação está correta: a ABNT NBR ISO/IEC 27005 é a norma da família ISO 27000 dedicada especificamente à gestão de riscos em segurança da informação, fornecendo diretrizes para o processo de gerenciamento de riscos, incluindo o estabelecimento do contexto, a avaliação de riscos (identificação, análise e avaliação) e o tratamento de riscos. Ela é a norma de referência para o processo de gestão de riscos dentro de um SGSI (Sistema de Gestão de Segurança da Informação), conforme a ISO/IEC 27001.

A gestão de riscos é o coração da segurança da informação. Antes de escolher controles, a organização precisa saber quais são seus ativos, quais ameaças os rondam, quais vulnerabilidades existem e qual o impacto de um incidente. A ISO/IEC 27005 é a norma que orienta exatamente esse processo, de forma estruturada e iterativa. Ela não é uma norma de requisitos (como a 27001) nem um guia de boas práticas para controles (como a 27002), mas sim um guia de diretrizes para o processo de gestão de riscos.

O processo descrito pela norma segue um fluxo bem definido, que se integra ao ciclo PDCA do SGSI. Na fase de planejamento, estabelece-se o contexto (interno e externo), definem-se os critérios de avaliação e o apetite a risco. Em seguida, realiza-se a avaliação de riscos, que se subdivide em identificação, análise e avaliação. Depois, define-se o plano de tratamento dos riscos, com as opções de modificar, reter, evitar ou compartilhar o risco (o mnemônico MORE COM). Por fim, há o monitoramento contínuo e a análise crítica, que alimentam a melhoria do processo.

A norma é iterativa: as revisões são contínuas, conforme mudanças no contexto ou nas ameaças. Isso significa que a gestão de riscos não é um evento único, mas um processo contínuo e integrado ao SGSI. A ISO/IEC 27005 também está alinhada à ISO 31000 (gestão de riscos organizacionais), mas com foco específico em segurança da informação.

A pegadinha que a banca explora é a confusão entre as normas da família 27000. A 27001 é a norma de requisitos para o SGSI (certificável); a 27002 é o código de prática para controles de segurança da informação; e a 27005 é a norma de diretrizes para a gestão de riscos. O candidato que confunde essas atribuições pode marcar errado. Nesta questão, a afirmação é precisa: a 27005 provê metodologia específica para o gerenciamento de riscos em segurança da informação.

Gabarito: ✅ CERTO.