Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — CESPE / CEBRASPE 2023
Segurança da Informação›Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005)
Código
ce398036
Banca
CESPE / CEBRASPE
Órgão
DATAPREV
Ano
2023
Cargo
Ana TI ( )
Considerando a ABNT NBR ISO/IEC 27005 e a NBR ISO 22301, julgue o item a seguir. Diante de riscos identificados que necessitam de tratamento, a organização deve tomar medidas proativas que reduzam a probabilidade de interrupção dos serviços ou diminuam o tempo de interrupção.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoC — Certo
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Tratamento de riscos e continuidade de negócios na NBR ISO/IEC 27005 e ISO 22301
✅ CERTO. A afirmação está correta: diante de riscos identificados que necessitam de tratamento, a organização deve tomar medidas proativas que reduzam a probabilidade de interrupção dos serviços ou diminuam o tempo de interrupção. Esse é o princípio central tanto da gestão de riscos de segurança da informação (NBR ISO/IEC 27005) quanto da gestão de continuidade de negócios (ISO 22301), que busca exatamente reduzir a probabilidade de ocorrência de incidentes e minimizar o impacto quando eles ocorrem.
A gestão de riscos de segurança da informação, conforme a NBR ISO/IEC 27005, é um processo sistemático que envolve a identificação, análise, avaliação e tratamento dos riscos. O tratamento de riscos é a etapa em que a organização seleciona e implementa controles para modificar o risco, podendo optar por reduzir a probabilidade de ocorrência, reduzir o impacto, transferir o risco ou aceitá-lo. A norma ISO 22301, por sua vez, trata especificamente da continuidade de negócios, estabelecendo requisitos para que a organização se prepare para responder a interrupções e retomar suas atividades críticas em tempo hábil.
A afirmação do enunciado está alinhada com o objetivo central de ambas as normas: a organização não deve apenas reagir a incidentes, mas sim adotar uma postura proativa, implementando medidas que reduzam a probabilidade de interrupção dos serviços (prevenção) e que diminuam o tempo de interrupção quando ela ocorrer (mitigação e resposta). Isso inclui a implementação de controles preventivos, detectivos e corretivos, bem como o desenvolvimento de planos de continuidade de negócios e de recuperação de desastres.
Na prática, isso se traduz em ações como: implementar redundância de sistemas e infraestrutura, estabelecer procedimentos de backup e recuperação, treinar equipes para resposta a incidentes, e desenvolver e testar planos de continuidade. Essas medidas proativas são essenciais para garantir a disponibilidade dos serviços e minimizar os impactos de eventos adversos.
A pegadinha que a banca poderia explorar aqui é a confusão entre a fase de tratamento de riscos e outras fases do processo de gestão de riscos, como a avaliação ou a aceitação de riscos. No entanto, o enunciado é claro ao afirmar que a organização deve tomar medidas proativas para reduzir a probabilidade ou o tempo de interrupção, o que é exatamente o objetivo do tratamento de riscos e da continuidade de negócios.
1Identificação
2Análise
3Avaliação
4Tratamento
5Aceitação
LEVEL · soulevel.com.br
NÃO CAIA NESSA!
A banca poderia tentar confundir o candidato ao afirmar que a organização deve apenas aceitar os riscos ou transferi-los, sem tomar medidas proativas. No entanto, o tratamento de riscos envolve justamente a implementação de controles para reduzir a probabilidade ou o impacto, e a continuidade de negócios exige medidas proativas para garantir a disponibilidade dos serviços. Fique atento: a norma não permite que a organização simplesmente ignore os riscos identificados.
PEGA ESSA DICA!
Para questões sobre gestão de riscos e continuidade de negócios, lembre-se do ciclo PDCA (Plan, Do, Check, Act) aplicado ao SGSI. No contexto da NBR ISO/IEC 27005, o tratamento de riscos está na fase de planejamento (Plan), enquanto a implementação do plano de tratamento está na fase de execução (Do). A continuidade de negócios, por sua vez, está relacionada à capacidade da organização de responder a interrupções, o que envolve medidas proativas de prevenção e mitigação.