A empresa Y foi contratada por uma fabricante de software para verificar uma quebra de segurança, com perda da confidencialidade ocorrida na empresa, e suas consequências. Em seu relatório, a empresa Y informou que: - houve uma perda financeira limitada; - ocorreram danos limitados nos recursos da organização; - a organização consegue realizar suas funções primárias, mas com a eficiência delas notadamente reduzida. A partir dessas caraterísticas, a empresa Y informou que o nível de impacto sobre a organização foi:
- A)baixo;
Correta, porque os efeitos descritos são limitados e a organização continua operando, ainda que com perda de eficiência.
- B)alto;
Errada, pois impacto alto exigiria consequências bem mais graves, com prejuízo operacional e financeiro mais relevante.
- C)moderado;
Errada, porque o caso não mostra dano intermediário relevante, mas sim restrição leve e controlada.
- D)muito baixo;
Errada, já que muito baixo indicaria impacto quase irrelevante, e aqui há perda financeira e redução de eficiência.
- E)muito alto.
Errada, porque muito alto pressupõe comprometimento severo da organização, o que não ocorreu no enunciado.
Gabarito: A
Quando a banca fala em impacto de um incidente, ela costuma associar isso ao quanto a organização perdeu, quanto foi danificada e se ainda consegue funcionar. Aqui, o enunciado descreve exatamente um cenário de prejuízo contido: perda financeira limitada, danos limitados aos recursos e manutenção das funções primárias, embora com eficiência menor. Isso indica que o efeito existe, mas não é devastador. Em classificações de impacto usadas em gestão de riscos e segurança da informação, esse quadro se encaixa no nível baixo. Em termos práticos, a empresa não ficou paralisada, não houve comprometimento severo da operação e os prejuízos ficaram restritos. É aquele tipo de incidente chato, caro e indesejado, mas longe de ser um desastre corporativo. A lógica é simples: quanto mais a organização perde capacidade de operar, maiores são os danos e maior tende a ser o impacto. Como o próprio enunciado afirma que a empresa ainda realiza suas funções primárias, só que com eficiência reduzida, a leitura correta é de impacto baixo. Se fosse moderado, alto ou muito alto, esperaríamos interrupção relevante, danos amplos ou perdas mais graves. Esse tipo de classificação aparece em referenciais de gestão de risco como a família ISO/IEC 27000 e modelos de avaliação de impacto de negócio, que analisam consequências financeiras, operacionais e de imagem. A FGV adora esse jogo: ela descreve os sintomas do incidente e você traduz para o nível correspondente, sem dramatizar nem subestimar.