Segurança da Informação · FGV · 2026 | Questão sqc-gp007224

Segurança da InformaçãoAnálise de Vulnerabilidade e Gestão de Riscos

Código: gp007224
Banca: FGV
Órgão: TJ-SC
Ano: 2026

Cargo: Analista de Sistemas

Uma organização mantém um sistema legado crítico, mas comforte dependência de tecnologia obsoleta. Foi identificado umrisco relacionado tanto ao comprometimento da segurançaquanto à futura indisponibilidade do sistema. Para tratar esse risco, foram propostas as seguintes ações: P1: migrar as funcionalidades para uma plataforma SaaS moderna,desativando o servidor antigo; P2: terceirizar a gestão do legado para um parceiro especializado,com foco em cláusulas de responsabilidade civil em contrato,sem alteração dos controles técnicos ou operacionais dosistema; P3: isolar o sistema em uma VLAN sem acesso à internet e exigirVPN com MFA para qualquer acesso; eP4: manter a operação do sistema legado, estabelecendo umfundo de reserva financeira para cobrir eventuais multas edefinindo um plano de resposta a incidentes para recuperaçãomanual, em caso de falha catastrófica. Assinale a opção que associa corretamente cada proposta a umaestratégia de tratamento de risco.

AP1: evitar; P2: transferir; P3: mitigar; P4: aceitar.
BP1: evitar; P2: mitigar; P3: mitigar; P4: aceitar.
CP1: mitigar; P2: transferir; P3: mitigar; P4: transferir.
DP1: evitar; P2: transferir; P3: mitigar; P4: transferir.
EP1: mitigar; P2: mitigar; P3: mitigar; P4: aceitar.

Revelar gabarito e comentário

GabaritoA — P1: evitar; P2: transferir; P3: mitigar; P4: aceitar.

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

Gestão de Riscos – Estratégias de Tratamento

Gabarito: letra A. A proposta P1 (migrar para SaaS e desativar o servidor antigo) elimina a causa do risco – é evitar. P2 (terceirizar gestão com cláusulas de responsabilidade) transfere o risco para terceiros – transferir. P3 (isolar em VLAN com VPN e MFA) implementa controles para reduzir o risco – mitigar. P4 (manter operação com fundo de reserva e plano de resposta) aceita o risco e prepara-se para as consequências – aceitar. Essas quatro estratégias são clássicas na ISO 27005 e na gestão de riscos de segurança da informação.

A questão testa a capacidade de associar cada ação concreta à estratégia correta, evitando confusões comuns como achar que terceirização é mitigação (quando não altera controles técnicos) ou que fundo de reserva é transferência (quando não envolve terceiro).

Ação	Estratégia de Tratamento	Justificativa
P1: migrar para SaaS e desativar servidor antigo	Evitar	Elimina a causa do risco (tecnologia obsoleta).
P2: terceirizar gestão com cláusulas de responsabilidade	Transferir	Transfere a responsabilidade para terceiro, sem alterar controles técnicos.
P3: isolar em VLAN com VPN e MFA	Mitigar	Implementa controles para reduzir o risco.
P4: manter operação com fundo de reserva e plano de resposta	Aceitar	Retém o risco e prepara-se para as consequências.

Estratégias de tratamento de risco

1Evitar (elimina a causa)
- P1: migrar para SaaS e desativar legado
2Transferir (terceiro assume)
- P2: terceirizar gestão com cláusulas
3Mitigar (reduz com controles)
- P3: isolar em VLAN + VPN + MFA
4Aceitar (reter conscientemente)
- P4: fundo de reserva + plano de resposta

LEVEL · soulevel.com.br

Alternativa A — ✅ Correta ⟵ GABARITO

P1: evitar (elimina o sistema legado), P2: transferir (terceiriza a gestão), P3: mitigar (adiciona controles), P4: aceitar (mantém e prepara-se). Sequência exata da resposta oficial.

Alternativa B — ❌ Incorreta

Erra em P2: classifica como mitigar, mas a terceirização sem alteração de controles é transferência de responsabilidade, não redução do risco.

Alternativa C — ❌ Incorreta

Erra em P1 (mitigar, quando é evitar) e em P4 (transferir, quando é aceitar).

Alternativa D — ❌ Incorreta

Erra em P4: fundo de reserva e plano de resposta indicam aceitação, não transferência.

Alternativa E — ❌ Incorreta

Erra em P1 (mitigar, em vez de evitar) e em P2 (mitigar, em vez de transferir).

NÃO CAIA NESSA!

A banca explora a confusão entre transferir (P2) e mitigar – terceirizar não reduz o risco técnico, apenas repassa a gestão. Outra troca frequente é entre aceitar (P4) e transferir – manter o risco com reserva financeira é aceitar, não transferir. Fique atento: na transferência, um terceiro assume parte ou todo o risco; na aceitação, a organização o retém conscientemente.

PEGA ESSA DICA!

Para cada proposta, pergunte-se: “A ação elimina a causa? Se sim, é evitar. Transfere a responsabilidade para outro? Transferir. Adiciona controles para reduzir probabilidade/impacto? Mitigar. Mantém o risco e prepara contingências? Aceitar.” Esse passo a passo resolve a maioria das questões de tratamento de risco.

Link permanente: /questoes/gp007224