Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — INSTITUTO AOCP 2026

Gestão de Riscos na ABNT NBR ISO/IEC 27001:2022

Gabarito: letra B. A norma exige que a organização defina os critérios de avaliação de riscos e mantenha informação documentada sobre o processo de avaliação e tratamento de riscos do SGSI — é exatamente o que a alternativa B afirma, em linha com os requisitos dos itens 6.1.2, 8.2 e 8.3 da ABNT NBR ISO/IEC 27001:2022.

A ABNT NBR ISO/IEC 27001:2022 é a norma de requisitos para o Sistema de Gestão de Segurança da Informação (SGSI). Ela não impõe um método específico de gestão de riscos, mas estabelece o que a organização deve fazer para que o processo seja conduzido de forma estruturada e documentada. O coração dessa exigência está no item 6.1.2, que trata das ações para tratar riscos e oportunidades, e nos itens 8.2 e 8.3, que detalham a avaliação e o tratamento de riscos.

O processo de gestão de riscos, conforme a norma, começa com o estabelecimento do contexto — que inclui definir o escopo, os critérios de avaliação e os critérios de aceitação do risco. Em seguida, vem a avaliação de riscos, que se divide em identificação, análise e avaliação. Por fim, o tratamento de riscos, que é a seleção e implementação de controles para modificar o risco. Em todas essas etapas, a norma exige que a organização retenha informação documentada — ou seja, que registre os critérios, os resultados e as decisões. Isso garante rastreabilidade, auditoria e melhoria contínua.

Um ponto crucial é que a norma não determina que todos os controles do Anexo A sejam implementados automaticamente. O Anexo A é uma lista de referência de controles, derivada da ISO/IEC 27002:2022, que deve ser usada em alinhamento com o processo de avaliação de riscos (item 6.1.3). Ou seja, a organização seleciona os controles com base nos riscos identificados, e não por obrigação cega. A gestão de riscos também não se limita a ativos tecnológicos: a norma trata de riscos de segurança da informação de forma ampla, envolvendo pessoas, processos e tecnologia. E a responsabilidade pela gestão de riscos é da própria organização — a alta direção deve demonstrar liderança e comprometimento, e não pode delegar integralmente essa função a um fornecedor.

A banca explora exatamente a confusão entre "implementar todos os controles do Anexo A" e "selecionar controles com base na análise de riscos". O candidato que decora que o Anexo A é obrigatório sem entender o papel dele no SGSI cai na alternativa A. A alternativa B, por sua vez, reflete a essência do requisito normativo: definir critérios e documentar o processo. Guarde essa distinção: o Anexo A é uma ferramenta de referência, não uma lista de imposições — é nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que todos os controles do Anexo A devem ser implementados automaticamente, independentemente da análise de riscos. Isso contraria o item 6.1.3 da norma, que determina que os controles do Anexo A devem ser usados em alinhamento com o processo de avaliação de riscos (item 6.1.3). A implementação é seletiva, baseada nos riscos identificados e nas opções de tratamento escolhidas. A banca troca a lógica de "selecionar controles conforme o risco" por "implementar tudo", o que é um erro clássico.

Alternativa B — ✅ Correta ⟵ GABARITO

A alternativa espelha o requisito central da norma: definir critérios de risco e manter informação documentada sobre o processo de avaliação e tratamento de riscos. Isso está previsto nos itens 6.1.2 (que exige o estabelecimento de critérios de avaliação de riscos), 8.2 (que exige reter informação documentada dos resultados das avaliações) e 8.3 (que exige reter informação documentada dos resultados do tratamento). A norma é explícita quanto à necessidade de documentação para garantir a eficácia e a auditabilidade do SGSI.

Alternativa C — ❌ Incorreta

Limitar a análise de riscos aos ativos tecnológicos, excluindo pessoas e processos, contraria o escopo amplo da gestão de riscos de segurança da informação. A norma trata a segurança da informação de forma holística, considerando todos os ativos que têm valor para a organização — incluindo pessoas, processos e tecnologia. A gestão de riscos deve considerar o contexto organizacional como um todo, não apenas a camada tecnológica.

Alternativa D — ❌ Incorreta

Delegar integralmente a gestão de riscos ao fornecedor de tecnologia contraria o princípio de que a organização é responsável pelo seu SGSI. A alta direção deve demonstrar liderança e comprometimento (item 5.1) e assegurar que as responsabilidades sejam atribuídas e comunicadas (item 5.3). A norma prevê controles para gerenciar riscos associados a fornecedores (itens 5.19 e 5.21), mas isso não transfere a responsabilidade pela gestão de riscos — o fornecedor é um terceiro que deve ser gerenciado, não o dono do processo.

Alternativa E — ❌ Incorreta

Realizar auditoria externa antes da definição do escopo do SGSI inverte a ordem lógica do processo. A auditoria (interna ou externa) é uma atividade de verificação que ocorre após a implementação do SGSI, para avaliar a conformidade e a eficácia. A definição do escopo é uma etapa inicial do planejamento, que precede a implementação e, consequentemente, a auditoria. A banca troca a sequência correta das fases do SGSI.

Gabarito: letra B