Gestão de Riscos – Tratamento de Riscos na ISO/IEC 27001
Gabarito: letra A. A implementação de um gerador redundante constitui uma ação de modificação do risco por meio da implementação de controles, conforme as opções de tratamento previstas na ISO/IEC 27001. As demais alternativas descrevem outras ações que não correspondem à situação (eliminar, reter, transferir ou apenas monitorar).
Segundo a ISO/IEC 27001 (e conforme o mnemônico MORE COM estudado), as opções de tratamento de riscos são: Modificar (implementar controles para reduzir a probabilidade ou impacto), Reter (aceitar o risco sem controles adicionais), Evitar (eliminar o risco descontinuando a atividade) e COMpartilhar/Transferir (por meio de seguro ou contrato). No caso, o gerador redundante é um controle adicional, portanto a ação é "Modificar o risco".
Alternativa A — ✅ Correta ⟵ GABARITO
A instalação de um gerador redundante visa reduzir a probabilidade ou o impacto da falha de energia, enquadrando-se na opção de modificar o risco por meio da implementação de controles.
Alternativa B — ❌ Incorreta
Eliminar o risco exigiria a descontinuação do ativo ou processo (ex.: desativar o datacenter), o que não ocorreu.
Alternativa C — ❌ Incorreta
Reter o risco sem implementação de controles adicionais seria aceitar a possibilidade de indisponibilidade; porém, houve a implementação de um gerador, descaracterizando a retenção.
Alternativa D — ❌ Incorreta
Transferir o risco envolveria contrato de seguro ou terceirização; o gerador é um controle interno, não uma transferência.
Alternativa E — ❌ Incorreta
Apenas monitorar o risco sem propor controles significa não implementar ação de tratamento; a questão claramente relata a implementação do gerador.
Gabarito: letra A.