Questão de Segurança da Informação — Norma 27005 — FUNDATEC 2024

NBR ISO/IEC 27005:2023 — Etapas do Gerenciamento de Riscos

Gabarito: letra C. A alternativa "Testagem de riscos" não corresponde a uma etapa do processo de gestão de riscos de segurança da informação segundo a norma. As etapas previstas são: Estabelecimento do contexto, Avaliação de riscos (que inclui identificação, análise e avaliação), Tratamento do risco, Aceitação do risco, Comunicação e consulta, e Monitoramento e análise crítica.

A própria norma, em seu item 4, descreve o fluxo inicial:

Já o material de apoio (aula sobre a norma) lista de forma completa as seis atividades principais do processo de GRSI:

1. Definição do contexto;

2. Processo de avaliação dos riscos (que por sua vez abrange identificação, análise e avaliação);

3. Tratamento do risco;

4. Aceitação do risco;

5. Comunicação e consulta do risco;

6. Monitoramento e análise crítica de riscos.

Note que identificação de riscos está contida na avaliação de riscos, mas não é uma etapa autônoma; mesmo assim, a banca considera "Identificação de riscos" como parte do processo, enquanto "Testagem de riscos" não aparece em momento algum.

Alternativa A — ✅ Correta

A Avaliação de riscos é uma etapa central do processo, composta pelas fases de identificação, análise e avaliação. Está expressamente prevista no item 8 da norma e no fluxo descrito no item 4.

Alternativa B — ✅ Correta

A Identificação de riscos é a primeira fase da avaliação de riscos. Embora não seja uma etapa isolada no sumário da norma, a banca a considera como parte do processo de gestão de riscos.

Alternativa C — ❌ Incorreta ⟵ GABARITO

Testagem de riscos não é uma etapa prevista na NBR ISO/IEC 27005:2023. O termo não aparece no escopo do processo; a norma trata de avaliação, tratamento, aceitação, comunicação e monitoramento, mas não de "testagem" como etapa formal. Essa expressão pode ser confundida com atividades de verificação ou validação de controles, mas não integra o macroprocesso descrito.

Alternativa D — ✅ Correta

O Tratamento do risco é a etapa subsequente à avaliação, onde se definem e implementam medidas para modificar, reter, evitar ou compartilhar o risco (item 9 da norma).

Alternativa E — ✅ Correta

O Estabelecimento de contexto é a primeira atividade do processo, conforme item 7 da norma, onde se define o escopo, os critérios e os contextos interno e externo.

Gabarito: letra C — a única alternativa que não corresponde a uma etapa do processo de gerenciamento de riscos.