João foi contratado para fazer a gestão de risco em um órgão público de acordo com as diretrizes para o processo de gestão de riscos de segurança da informação estabelecidas na norma ABNT NBR ISO/IEC 27005:2019. João está trabalhando em sua tarefa incluindo, excluindo e alterando alguns controles. Com isso poderá avaliar os riscos residuais e considerá-los aceitáveis ou não. A etapa do processo de gestão de riscos de segurança da informação em que João está trabalhando é:
- A)definição do contexto;
Errada, porque definição do contexto vem antes da identificação e do tratamento, para delimitar escopo, critérios e ambiente da análise.
- B)processo de avaliação de riscos;
Errada, porque a avaliação de riscos envolve identificar, analisar e avaliar riscos, não escolher ou mudar controles.
- C)tratamento de riscos;
Certa, porque incluir, excluir e alterar controles é exatamente parte do tratamento de riscos na ISO/IEC 27005.
- D)aceitação de riscos;
Errada, porque aceitação de riscos ocorre depois do tratamento, quando se decide se o risco residual pode ser tolerado.
- E)monitoramento e análise crítica dos riscos.
Errada, porque monitoramento e análise crítica acompanham todo o processo e servem para revisar riscos e controles, não para definir ou modificar controles como atividade principal.
Gabarito: C
Na ISO/IEC 27005, o processo de gestão de riscos de segurança da informação não termina em identificar o risco e pronto: depois vem decidir o que fazer com ele. É aí que entra o tratamento de riscos, que é a fase em que você escolhe e ajusta controles para modificar o risco, por exemplo, incluir, excluir ou alterar medidas de segurança. Em termos simples, é como mexer no “painel de proteção” do órgão para tentar baixar a chance de algo dar errado ou reduzir o impacto caso dê. A norma admite opções como evitar, modificar, compartilhar ou reter o risco, e a modificação normalmente acontece por meio de controles. Por isso, quando João está trabalhando exatamente em incluir, excluir e alterar controles, ele está no tratamento de riscos. Depois disso, ele ainda pode avaliar os riscos residuais, isto é, o que sobra após os controles, para decidir se esse risco ficou aceitável ou não. Então o gabarito é a letra C. A lógica da ISO 27005 é bem direta: primeiro você entende o risco, depois trata o risco, e só então verifica se o que restou pode ser aceito. A banca costuma cobrar essa sequência com muita precisão.