Mário trabalha em uma empresa que está elaborando seu plano de gerenciamento de riscos. Com o objetivo de estabelecer o valor de cada ativo na organização, ela precisa inicialmente identificar seus riscos em um nível de detalhamento adequado. Baseando-se na norma ABNT NBR ISO/IEC 27005:2019, sabe-se que os ativos são divididos em primários e de suporte. Para facilitar o processo de identificação, Mário iniciou seu documento de ativos primários pelo:
- A)equipamento automático de processamento de dados, incluindo os itens necessários para sua operação independente;
Errada, porque equipamento de processamento é ativo de suporte, usado para viabilizar os ativos primários.
- B)software para o gerenciamento de bases de dados e software de gerenciamento de fluxo de trabalho;
Errada, porque software de base ou de apoio entra como ativo de suporte, não como ativo primário.
- C)pessoal de produção/manutenção e desenvolvedores;
Errada, porque pessoas e equipes operacionais são tratadas como ativos de suporte na classificação da norma.
- D)processo que contém procedimentos secretos e processos envolvendo tecnologia proprietária;
Certa, porque descreve um processo com conhecimento e procedimentos estratégicos, que é um ativo primário.
- E)meio físico e a infraestrutura, pontes (“relays”) passivas ou ativas e interface de comunicação.
Errada, porque meio físico, infraestrutura e interfaces de comunicação são exemplos clássicos de ativos de suporte.
Gabarito: D
Na ABNT NBR ISO/IEC 27005:2019, a análise de risco começa pela identificação dos ativos e, dentro deles, é comum separar o que é ativo primário do que é ativo de suporte. Pense assim: o ativo primário é aquilo que tem valor direto para o negócio, como processos, informações, serviços e conhecimento essencial. Já o ativo de suporte é o que ajuda o primário a existir e funcionar, como hardware, software, pessoas, infraestrutura e rede. Essa separação é importante porque o risco não nasce só no computador ou no servidor, mas no impacto que uma falha causa sobre o que a empresa realmente quer proteger. Ou seja, você não protege o parafuso pelo parafuso; você protege o que a máquina entrega para o negócio. No item D, aparece um processo que contém procedimentos secretos e tecnologia proprietária. Isso aponta para um ativo ligado ao negócio e ao conhecimento estratégico da organização, portanto um ativo primário. O foco aqui não é o meio físico que executa a atividade, mas o próprio processo com valor direto para a empresa. As demais alternativas descrevem ativos de suporte, porque falam de equipamento, software, pessoas e infraestrutura. A banca costuma cobrar exatamente essa diferença: primário é o que tem valor final para a operação; suporte é o que sustenta esse valor.