Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — VUNESP 2025

Resolução

Gabarito: letra A — a conta chega a ARO = 3 — alternativa A.

A ideia por trás

Na gestão de riscos de segurança da informação, a análise quantitativa transforma riscos em números financeiros para decidir onde investir em proteção. Três métricas se encadeiam: o valor do ativo (AV) é quanto ele vale; o fator de exposição (EF) é a fração desse valor que se perde em um incidente; a perda única esperada (SLE) é o prejuízo de um único incidente; a taxa anual de ocorrência (ARO) é quantas vezes o incidente deve acontecer por ano; e a perda anualizada (ALE) é o prejuízo esperado ao longo de um ano.

A relação central é ALE = ARO × SLE, e SLE = AV × EF. A ALE cresce proporcionalmente à ARO: se o incidente acontece o dobro de vezes, a perda anual dobra. A SLE, por sua vez, cresce com o valor do ativo e com o fator de exposição — um ativo mais caro ou uma exposição maior aumentam o prejuízo de cada ocorrência. Essas fórmulas valem quando os incidentes são independentes e a taxa média é constante ao longo do ano.

Esta questão pede para inverter a fórmula: dado o limite de ALE, descobrir o maior ARO inteiro que ainda o respeita. É uma aplicação direta de ALE = ARO × SLE, com a SLE calculada antes por AV × EF.

O que a questão dá

• valor do ativo (AV) = $ 5.000,00

• fator de exposição (EF) = 10% = 0,10

• limite da perda anualizada (ALE) = $ 1.800,00

O que queremos: a maior taxa anual de ocorrência (ARO), em número inteiro, que mantém a perda anualizada abaixo de $ 1.800,00

Passo 1 — Calcular a perda única esperada (SLE)

A SLE é o prejuízo de um único incidente e é o elo entre o valor do ativo e a perda anual. Sem ela não há como relacionar a taxa de ocorrência com o limite anual.

Por que esta fórmula: SLE = AV × EF é a definição: o quanto se perde em um incidente é a fração exposta do valor total do ativo.

De onde vem cada valor: $AV$ = enunciado: $ 5.000,00 · $EF$ = enunciado: 10% = 0,10

Passo 2 — Montar a inequação da perda anual

Agora que sabemos o prejuízo por incidente, precisamos expressar a condição do problema: a perda anual deve ficar abaixo de $ 1.800,00. Isso vira uma inequação com a incógnita ARO.

Por que esta fórmula: ALE = ARO × SLE é a fórmula que liga a taxa anual à perda anual; substituímos ALE pelo limite e SLE pelo valor do passo 1.

De onde vem cada valor: $SLE$ = passo 1: $ 500,00 · $1800$ = enunciado: limite de ALE

Passo 3 — Isolar a taxa anual de ocorrência

Para saber qual ARO cabe no limite, precisamos deixá-la sozinha de um lado da inequação. Como 500 multiplica ARO, dividimos os dois lados por 500.

Por que esta fórmula: Dividir ambos os lados por um número positivo mantém o sentido da desigualdade.

De onde vem cada valor: $1800$ = enunciado: limite de ALE · $500$ = passo 1: SLE

Passo 4 — Escolher o maior inteiro abaixo do limite

A questão pede a taxa máxima considerando apenas números inteiros. O resultado 3,6 não é inteiro, então precisamos escolher o maior inteiro que ainda seja menor que 3,6.

Por que esta fórmula: Números inteiros são 0, 1, 2, 3, 4, ...; o maior que é menor que 3,6 é 3. Se usássemos 4, a ALE seria 4 × 500 = 2000, que ultrapassa o limite.

Resposta: ARO = 3 — alternativa A