Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — FCC 2026

Gestão de Riscos – ISO 27005: Seleção de Controles

Gabarito: letra D. Segundo a ISO 27005, o tratamento de riscos (opção modificar) visa reduzir a probabilidade ou as consequências dos riscos identificados. Portanto, o critério técnico para selecionar controles que comporão o plano de tratamento é o impacto relevante que produzem na probabilidade ou nas consequências dos riscos. As demais alternativas desviam desse princípio central.

A questão descreve uma situação em que controles previamente implementados não tiveram sua efetividade avaliada recentemente. A norma orienta que, para compor o plano de tratamento, os controles sejam selecionados com base na sua capacidade de modificar o nível do risco – ou seja, reduzir a probabilidade de ocorrência ou a severidade das consequências.

Alternativa A — ❌ Incorreta

A categorização dos riscos (ex.: aceitável, tolerável, inaceitável) é útil para priorizar, mas a seleção de controles deve considerar as condições operacionais e organizacionais (contexto interno e externo). A ISO 27005 enfatiza que o contexto deve ser plenamente considerado; dar menor ênfase a ele contraria a abordagem sistêmica da norma.

Alternativa B — ❌ Incorreta

Manter controles alinhados a práticas consolidadas, mesmo sem associação direta aos riscos priorizados, não é eficiente. A seleção deve ser direcionada aos riscos que realmente precisam de tratamento. Práticas consolidadas podem ser úteis, mas não substituem a análise de risco como critério principal.

Alternativa C — ❌ Incorreta

A formalização documental e a viabilidade de implementação são aspectos operacionais importantes, mas não são o critério técnico fundamental. Antes de incluir controles preexistentes, é preciso avaliar sua efetividade e seu impacto na redução do risco. Focar apenas em documentação sem mensurar o efeito real sobre o risco não está alinhado à ISO 27005.

Alternativa D — ✅ Correta ⟵ GABARITO

A ISO 27005 define que a opção modificar (tratamento de riscos) envolve aplicar controles que reduzam a probabilidade ou as consequências do risco. O plano de tratamento deve priorizar controles cujo impacto sobre o risco seja relevante. A alternativa capta exatamente esse critério: selecionar controles que produzam impacto relevante na probabilidade ou nas consequências dos riscos identificados.

Alternativa E — ❌ Incorreta

Embora controles preventivos sejam importantes, a norma não estabelece priorização com base exclusivamente na categoria (preventivo, detectivo, corretivo). A priorização deve ser função da efetividade na redução do risco, não do tipo de controle. Além disso, reduzir a necessidade de monitoramento não é um objetivo primário do tratamento; o monitoramento e a revisão são atividades contínuas e paralelas ao processo de gestão de riscos.

Gabarito: letra D.