Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — FCC 2026

Gestão de Riscos de Segurança da Informação (ABNT NBR ISO/IEC 27005)

Gabarito: letra E. A ação mais alinhada às boas práticas da ABNT NBR ISO/IEC 27005 é identificar ativos, ameaças, vulnerabilidades e impactos, estimando a probabilidade e as consequências de cada evento para calcular o nível de risco e subsidiar o tratamento conforme critérios definidos pela organização. Essa é a essência do processo de avaliação de riscos da norma, que estrutura a análise de forma sistemática e baseada em critérios objetivos.

A ABNT NBR ISO/IEC 27005 fornece diretrizes para o gerenciamento de riscos de segurança da informação, sendo uma norma de apoio ao SGSI (Sistema de Gestão de Segurança da Informação) da ISO/IEC 27001. O processo de gestão de riscos, conforme a norma, é composto por etapas sequenciais e interativas: estabelecimento do contexto, avaliação de riscos (que inclui identificação, análise e avaliação), tratamento de riscos, aceitação de riscos, comunicação e consulta, e monitoramento e análise crítica. A avaliação de riscos é o coração do processo, pois é nela que se identificam os ativos, as ameaças, as vulnerabilidades e os impactos, e se estimam a probabilidade e as consequências para calcular o nível de risco. Esse nível de risco é então comparado com os critérios de aceitação definidos no contexto, permitindo priorizar os riscos que precisam de tratamento. A norma não prescreve um método único, mas orienta que a organização defina sua abordagem, que pode ser qualitativa, quantitativa ou semiquantitativa, desde que coerente com seus objetivos e critérios.

A alternativa E descreve exatamente esse fluxo: identificar os elementos do risco (ativos, ameaças, vulnerabilidades, impactos), estimar probabilidade e consequência, calcular o nível de risco e, com base nos critérios da organização, subsidiar o tratamento. É a abordagem sistemática e baseada em critérios que a norma preconiza. As demais alternativas apresentam abordagens parciais, equivocadas ou que contrariam a metodologia da norma. Por exemplo, focar apenas em eventos passados (A) ignora riscos emergentes e mudanças no contexto; tratar riscos com penalidades contratuais antes de medidas técnicas (B) inverte a lógica de priorização baseada no nível de risco; aplicar controles genéricos sem análise específica (C) contraria a necessidade de avaliação de riscos para selecionar controles; e centralizar a análise apenas na equipe de segurança (D) desconsidera a necessidade de envolvimento das partes interessadas e a visão do negócio.

A norma ABNT NBR ISO/IEC 27005, em sua visão geral do processo, remete à ABNT NBR ISO 31000, que estabelece os princípios e diretrizes da gestão de riscos. A ISO 27005 detalha o processo específico para segurança da informação, incluindo a identificação de ativos, ameaças, vulnerabilidades e impactos, e a análise e avaliação de riscos. A norma também destaca a importância de definir critérios de avaliação de riscos, que podem ser baseados em probabilidade, consequência e nível de risco, e de comunicar e consultar as partes interessadas ao longo de todo o processo. O tratamento de riscos, por sua vez, envolve a seleção e implementação de controles para modificar o risco, podendo incluir opções como mitigar, transferir, evitar ou aceitar o risco. A escolha da opção de tratamento deve ser baseada no nível de risco e nos critérios da organização, e não em preferências arbitrárias.

A pegadinha desta questão está em confundir a etapa de avaliação de riscos com outras etapas do processo, como o tratamento de riscos ou a definição de controles. A alternativa E descreve a avaliação de riscos em si, que é o passo inicial e fundamental para qualquer ação posterior. As demais alternativas descrevem ações que, embora possam ser relevantes em algum momento, não representam a ação mais alinhada às boas práticas da norma no contexto da elaboração da matriz de riscos. A banca explora a confusão entre identificar riscos e tratá-los, entre análise qualitativa e quantitativa, e entre a responsabilidade da equipe de segurança e o envolvimento de toda a organização.

Alternativa A — ❌ Incorreta

Focar apenas em eventos passados é uma abordagem reativa e limitada. A norma orienta a identificação de riscos com base em ativos, ameaças e vulnerabilidades, considerando também cenários futuros e mudanças no contexto. O histórico de incidentes é uma fonte de informação, mas não a única nem a mais confiável para priorizar controles, pois ignora riscos emergentes e ameaças que ainda não se materializaram.

Alternativa B — ❌ Incorreta

Tratar riscos de maior severidade com penalidades contratuais e garantias financeiras antes de medidas técnicas preventivas inverte a lógica da norma. O tratamento de riscos deve ser baseado no nível de risco calculado na avaliação, e a seleção de controles deve considerar a eficácia e a adequação ao risco específico. Penalidades contratuais são uma opção de transferência de risco, mas não substituem a necessidade de medidas técnicas preventivas, que podem ser mais eficazes para reduzir a probabilidade ou o impacto.

Alternativa C — ❌ Incorreta

Aplicar controles genéricos previamente definidos pela política institucional, sem uma análise específica de riscos, contraria a metodologia da norma. A seleção de controles deve ser baseada nos resultados da avaliação de riscos, considerando as vulnerabilidades e ameaças específicas de cada ativo e processo. A uniformidade entre setores pode ser desejável, mas não deve substituir a análise de riscos individualizada.

Alternativa D — ❌ Incorreta

Centralizar a análise de riscos na equipe de segurança da informação e priorizar apenas riscos com maior impacto financeiro é uma visão limitada. A norma recomenda o envolvimento das partes interessadas e a consideração de diversos critérios, não apenas financeiros, como impacto na reputação, conformidade legal e continuidade do negócio. A análise de riscos deve ser um processo colaborativo e abrangente.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa descreve corretamente o processo de avaliação de riscos da norma ABNT NBR ISO/IEC 27005: identificar ativos, ameaças, vulnerabilidades e impactos, estimar a probabilidade e as consequências de cada evento, calcular o nível de risco e subsidiar o tratamento conforme critérios definidos pela organização. É exatamente o que a norma preconiza como etapa fundamental para a gestão de riscos de segurança da informação.

Gabarito: letra E