A norma NBR ISO/IEC 27005:2011, que fornece diretrizes para o processo de gestão de riscos de segurança da informação,
- A)está de acordo com os conceitos especificados na ABNT NBR ISO/IEC 27003, que lida com a gestão de riscos.
Errada: a ISO/IEC 27003 trata de orientação para implementação de um SGSI, enquanto a gestão de riscos é tema da 27005.
- B)se restringe, em termos de aplicação, a empreendimentos governamentais.
Errada: a norma pode ser aplicada por qualquer tipo de organização, pública ou privada, e não só por empreendimentos governamentais.
- C)considera que apenas o método padronizado Risk Evaluation pode ser aplicado, independentemente da abordagem da gestão de risco.
Errada: a ISO 27005 não impõe um único método padronizado; ela é flexível e permite diferentes abordagens de avaliação de riscos.
- D)pode necessitar, se o risco não for aceitável durante seu ciclo de aplicação, de outras iterações do processo de avaliação de riscos, com mudanças nas variáveis do contexto.
Certa: a norma prevê novas iterações do processo de avaliação de riscos quando o risco permanecer não aceitável, com revisão do contexto e das variáveis envolvidas.
- E)não estabelece critério ou consideração sobre entrada de dados no processo de gestão de risco.
Errada: a norma sim considera entradas do processo de gestão de riscos, como contexto, critérios de risco, ativos, ameaças, vulnerabilidades e impactos.
Gabarito: D
A NBR ISO/IEC 27005:2011 trata da gestão de riscos de segurança da informação como um processo contínuo, não como uma receita engessada. A ideia central é simples: identificar, analisar, avaliar e tratar riscos, sempre levando em conta o contexto da organização e os critérios de aceitação definidos por ela. Ou seja, não basta fazer uma rodada e pronto, vida que segue. Por isso, a norma admite iterações. Se, ao final do processo, o risco ainda não for aceitável, você volta, ajusta o contexto, revê premissas, muda variáveis e reavalia. Esse vai e vem faz parte da lógica da ISO 27005, que trabalha com melhoria contínua e com a realidade dinâmica das ameaças, vulnerabilidades e impactos. O gabarito é a letra D porque ela traduz exatamente essa característica iterativa do gerenciamento de riscos. A norma não promete um caminho único e definitivo; ela permite novas rodadas de avaliação sempre que necessário, especialmente quando o risco residual continua acima do aceitável. Isso é bem alinhado com a abordagem da família ISO 27000, em que gestão de riscos e contexto organizacional andam juntos. Em resumo: a 27005 não é camisa de força. Ela orienta o processo, mas deixa a organização adaptar, repetir e recalibrar o que for preciso para chegar a um risco aceitável.