De acordo com a norma ABNT NBR 27005, sobre Tecnologia da informação — Técnicas de segurança — Gestão de riscos de segurança da informação, o Processo de Avaliação de Riscos inclui as seguintes etapas:
- A)análise de riscos, avaliação de riscos e tratamento dos riscos.
Errada, porque análise, avaliação e tratamento não formam o processo de avaliação de riscos da norma, já que o tratamento vem depois.
- B)análise de riscos, tratamento dos riscos e avaliação de riscos residuais.
Errada, porque mistura tratamento e avaliação de riscos residuais, mas essas etapas não compõem o núcleo do processo de avaliação.
- C)avaliação de riscos residuais, análise de riscos e avaliação de riscos.
Errada, porque coloca a avaliação de riscos residuais antes da análise, invertendo a lógica da norma.
- D)identificação de riscos, análise de riscos e avaliação de riscos.
Certa, porque o processo de avaliação de riscos na NBR ISO/IEC 27005 envolve identificação de riscos, análise de riscos e avaliação de riscos.
- E)identificação de riscos, análise de riscos e tratamento de riscos.
Errada, porque inclui tratamento de riscos, que é uma etapa posterior ao processo de avaliação de riscos.
Gabarito: D
A ABNT NBR ISO/IEC 27005 organiza a gestão de riscos de segurança da informação em etapas bem lógicas, quase como montar um quebra-cabeça: primeiro você identifica o que pode dar problema, depois analisa o tamanho do estrago e, por fim, avalia se aquele risco é aceitável ou se exige ação. Esse trio forma o Processo de Avaliação de Riscos: identificação de riscos, análise de riscos e avaliação de riscos. A pegadinha clássica é confundir avaliação de riscos com tratamento de riscos. Avaliar é decidir, com base na análise, se o risco é tolerável, se precisa de prioridade ou se deve ser tratado. Tratar, por sua vez, é outra fase, em que você escolhe medidas para alterar o risco, como evitar, mitigar, transferir ou aceitar. Por isso o gabarito é a letra D. Ela traz exatamente as três etapas que a norma aponta para o processo de avaliação de riscos: identificar, analisar e avaliar. As demais alternativas misturam fases de tratamento ou riscos residuais, que até fazem parte da gestão de riscos, mas não são o núcleo do processo de avaliação. Em prova, pense assim: identificação responde "o que pode acontecer?", análise responde "qual o impacto e a probabilidade?" e avaliação responde "isso é aceitável?". Se apareceu tratamento no meio desse trio, a banca provavelmente está tentando te fazer escorregar.