O processo de gestão de riscos de segurança da informação da equipe de TI do TCE/ES, denominado ProcessoR, foi elaborado em plena observância à norma NBR ISO/IEC 27005:2019. Sendo assim, durante a execução do ProcessoR, a equipe de TI do TCE/ES deve julgar se o risco residual é ou não satisfatório logo após a atividade do ProcessoR de:
- A)análise de riscos;
Errada, porque a análise de riscos mede e estima o risco, mas ainda não é a etapa em que se verifica o risco residual.
- B)aceitação do risco;
Errada, porque a aceitação do risco acontece depois de saber se o risco residual ficou satisfatório, e não antes.
- C)avaliação de riscos;
Errada, porque a avaliação de riscos compara o risco com critérios, mas o risco residual só é examinado após o tratamento.
- D)tratamento do risco;
Certa, porque é após o tratamento do risco que a equipe verifica o risco residual e decide se ele é satisfatório.
- E)identificação de riscos.
Errada, porque a identificação de riscos apenas levanta e descreve os riscos existentes, sem ainda falar em risco residual.
Gabarito: D
A NBR ISO/IEC 27005:2019 organiza a gestão de riscos de segurança da informação em etapas bem lógicas: identificar os riscos, analisá-los, avaliá-los, tratá-los e, depois, aceitar o risco residual quando for o caso. A ideia é simples: primeiro você entende o problema, depois mede o tamanho do estrago e decide o que fazer com ele. O ponto-chave da questão é que o risco residual só existe depois que você aplica o tratamento, porque ele é justamente o risco que sobra após as medidas adotadas. Então, faz sentido perguntar se ele ficou satisfatório logo depois da atividade de tratamento do risco, quando já dá para comparar o risco remanescente com os critérios definidos pela organização. Na prática, a sequência é quase didática: identificar, analisar, avaliar, tratar e, se o que sobrou ainda estiver dentro do apetite de risco, aceitar. Se não estiver, a equipe volta e ajusta o tratamento. Ou seja, a aceitação vem depois de verificar o risco residual, não antes. Por isso, o gabarito é a letra D. A própria lógica da ISO 27005 leva a essa conclusão: a avaliação do risco residual decorre do tratamento do risco, porque é nesse momento que você sabe o que restou e se isso é tolerável ou não.