Questão de Segurança da Informação — Políticas de Segurança de Informação — VUNESP 2023

Tratamento de riscos na ABNT NBR ISO/IEC 27005

Gabarito: letra B. A norma ABNT NBR ISO/IEC 27005 estabelece quatro opções de tratamento de riscos de segurança da informação: modificação do risco, retenção do risco, evitação do risco (ou ação de evitar) e compartilhamento do risco. A alternativa B apresenta corretamente duas dessas opções: modificação e retenção. As demais alternativas trazem pares que não correspondem às opções previstas na norma.

Alternativa A — ❌ Incorreta

Replicação e divisão do risco não são opções de tratamento previstas na ISO 27005. A replicação pode confundir-se com redundância, que é uma medida de mitigação, mas não consta como tratamento formal. Divisão do risco não é termo da norma.

Alternativa B — ✅ Correta ⟵ GABARITO

Modificação e retenção são duas das quatro opções clássicas. A modificação envolve alterar a probabilidade ou o impacto do risco; a retenção significa aceitar o risco e seus efeitos.

Alternativa C — ❌ Incorreta

Absorção e participação do risco não correspondem às opções. O termo correto próximo seria "compartilhamento" (risk sharing), não participação. Absorção não é termo usado; o risco pode ser retido, não absorvido.

Alternativa D — ❌ Incorreta

Substituição e compactação do risco não existem como opções. Substituição pode ser confundida com mitigação, mas não consta na norma. Compactação é termo estranho ao contexto.

Alternativa E — ❌ Incorreta

Internalização e implementação do risco não são opções. Internalização pode remeter à retenção, mas não é a nomenclatura oficial. Implementação é uma etapa do plano de tratamento, não uma opção em si.

Gabarito: letra B.