Na avaliação de riscos, procura-se uma base que sirva para efeitos de comparação, como a análise e a avaliação de riscos efetuadas em épocas anteriores. O conhecimento prévio de impactos e probabilidades de riscos é sempre relevante para uma avaliação adequada e completa. Por outro lado, há basicamente dois modos de realizar a avaliação de riscos, os quais se baseiam
- A)no controle e na classificação de recursos computacionais.
Errada, porque controle e classificação de recursos ajudam na gestão da segurança, mas não são os dois modos clássicos de avaliação de riscos.
- B)nas estimativas quantitativa e qualitativa.
Certa, porque a avaliação de riscos pode ser feita por estimativas quantitativas ou qualitativas, exatamente as duas abordagens clássicas do tema.
- C)no custo e benefício.
Errada, porque custo e benefício podem aparecer na decisão sobre tratamento do risco, mas não definem os modos de avaliação.
- D)nos níveis de tecnologia e processos.
Errada, porque níveis de tecnologia e processos podem influenciar o contexto do risco, mas não são a base metodológica da avaliação.
Gabarito: B
Na análise e avaliação de riscos, a ideia é criar uma base comparável para que você consiga olhar para situações diferentes e dizer: “isso piorou, melhorou ou ficou igual?”. Por isso, histórico, impacto e probabilidade são tão importantes. Sem esse tripé, a avaliação vira chute com gravata. Em segurança da informação, a avaliação de riscos costuma seguir duas abordagens clássicas: a quantitativa e a qualitativa. A quantitativa tenta atribuir números aos riscos, como valores monetários, frequência esperada e perdas estimadas. Já a qualitativa trabalha com categorias, como baixo, médio e alto, o que é muito comum quando não há dados suficientes para fazer contas mais precisas. É exatamente por isso que o gabarito é a letra B. A questão pergunta sobre os “dois modos” de realizar a avaliação de riscos, e esses modos são baseados nas estimativas quantitativa e qualitativa. Isso está em linha com a doutrina de gestão de riscos e com normas como a ABNT NBR ISO/IEC 27005, que trata da gestão de riscos de segurança da informação e admite avaliação qualitativa, quantitativa ou uma combinação das duas. Em resumo: se a banca falar em formas de avaliar risco, acione o alerta mental de “números ou categorias”. Se falar em comparação histórica, lembre que risco não é fotografia de um instante, mas filme: o contexto anterior ajuda a entender o cenário atual.