Questão de Segurança da Informação — Norma 27005 — FGV 2022
Segurança da Informação›Norma 27005
Código
fg047155
Banca
FGV
Órgão
CGU
Ano
2022
Nível
Superior
Cargo
Auditor Federal de Finanças e Controle - Tecnologia da Informação
João foi contratado para fazer a gestão de risco em um órgão público de acordo com as diretrizes para o processo de gestão de riscos de segurança da informação estabelecidas na norma ABNT NBR ISO/IEC 27005:2019. João está trabalhando em sua tarefa incluindo, excluindo e alterando alguns controles. Com isso poderá avaliar os riscos residuais e considerá-los aceitáveis ou não.A etapa do processo de gestão de riscos de segurança da informação em que João está trabalhando é:
Adefinição do contexto;
Bprocesso de avaliação de riscos;
Ctratamento de riscos;
Daceitação de riscos;
Emonitoramento e análise crítica dos riscos.
Revelar gabarito e comentário▾
GabaritoC — tratamento de riscos;
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Gestão de riscos de segurança da informação – ABNT NBR ISO/IEC 27005:2019
Gabarito: letra C (tratamento de riscos). João está incluindo, excluindo e alterando controles para modificar os riscos, o que caracteriza a etapa de tratamento de riscos. Após essa atividade, ele avalia os riscos residuais e decide se são aceitáveis. Segundo a norma, o tratamento de riscos é a etapa que antecede a aceitação, na qual se selecionam e implementam controles para modificar, reter, evitar ou compartilhar riscos.
A questão exige conhecer o fluxo do processo de gestão de riscos de segurança da informação definido na ABNT NBR ISO/IEC 27005:2019. As etapas principais são: definição do contexto, avaliação de riscos (identificação, análise e avaliação), tratamento de riscos, aceitação de riscos, e monitoramento e análise crítica. A descrição de João ajustando controles e depois verificando riscos residuais corresponde exatamente ao tratamento de riscos.
1Definição do contexto
2Avaliação de riscos
3Tratamento de riscos
4Aceitação de riscos
5Monitoramento e análise crítica
LEVEL · soulevel.com.br
Alternativa A — ❌ Incorreta
A definição do contexto (etapa inicial) estabelece os critérios básicos, escopo e limites do processo. Não envolve a modificação de controles.
Alternativa B — ❌ Incorreta
O processo de avaliação de riscos compreende identificação, análise e avaliação dos riscos. Ele ocorre antes do tratamento, servindo para priorizar riscos, mas não inclui a seleção ou alteração de controles.
Alternativa C — ✅ Correta ⟵ GABARITO
O tratamento de riscos é a etapa em que se selecionam e implementam controles para modificar, reter, evitar ou compartilhar riscos. Após o tratamento, avalia-se o risco residual, que pode ser aceito ou não. A norma enfatiza que a modificação do risco é feita pela inclusão, exclusão ou alteração de controles.
ABNT NBR ISO/IEC 27005 – item de tratamento de riscos (conteúdo de apoio): Entrada: Lista de riscos priorizados. Ação: Convém que controles para MODIFICAR, RETER, EVITAR ou COMPARTILHAR os riscos sejam selecionados e o plano de tratamento do risco seja definido. Saída: O plano de tratamento do risco e os riscos residuais, sujeitos à decisão de aceitação.
Alternativa D — ❌ Incorreta
A aceitação de riscos ocorre após o tratamento, quando se decide formalmente aceitar os riscos residuais. Não envolve a inclusão/exclusão de controles, mas sim a validação dos riscos residuais.
Alternativa E — ❌ Incorreta
O monitoramento e análise crítica são atividades contínuas ao longo do processo, porém não correspondem ao momento em que se alteram controles e se avaliam riscos residuais. O monitoramento verifica a eficácia das ações já implementadas.
PEGA ESSA DICA!
Para identificar a etapa correta, foque nas ações descritas: alterar controles = tratamento de riscos; avaliar riscos residuais = atividade posterior ao tratamento, mas citada como consequência. O mnemônico MERC (Modificar, Evitar, Reter, Compartilhar) ajuda a lembrar as opções de tratamento.