Seu próximo nível começa aqui
Seu desenvolvimento não pode ter limites. Garanta sua Assinatura Ilimitada e libere uma preparação completa com os melhores professores do Brasil.
Um auditor interno de uma Secretaria da Fazenda está conduzindo uma avaliação de riscos...
Um auditor interno de uma Secretaria da Fazenda está conduzindo uma avaliação de riscos de segurança da informação nos sistemas críticos de arrecadação. Para priorizar os esforços de tratamento e alocar recursos de forma eficiente, ele decide utilizar uma Matriz de Risco, que combina os níveis de probabilidade (Baixa, Média, Alta) e impacto (Baixo, Médio, Alto, Crítico) para determinar a magnitude do risco. Em sua análise, ele identificou dois riscos específicos:
- Risco A: Possibilidade de um funcionário, por descuido, enviar um arquivo contendo dados fiscais sigilosos por e-mail pessoal. O auditor estima que a probabilidade de isso ocorrer é alta, mas, considerando os controles atuais de monitoramento de rede e DLP, o impacto financeiro e reputacional seria Baixo se detectado rapidamente.
-Risco B: Possibilidade de um ataque de ransomware direcionado a explorar uma vulnerabilidade não corrigida no servidor principal do sistema de impostos. A probabilidade é estimada como média, mas o impacto seria crítico.
Com base na metodologia de matriz de risco, a ação de tratamento prioritária que o auditor deve recomendar com base na análise dos Riscos A e B é:
A
Ambos os riscos têm a mesma prioridade, pois a matriz classifica riscos apenas pela probabilidade, que é Alta no Risco A e Média no Risco B, tornando o Risco A mais urgente.
B
O Risco A deve ser tratado primeiro, pois uma probabilidade Alta sempre representa um perigo mais iminente, independentemente do impacto.
C
O Risco B deve ser tratado primeiro, pois, em uma matriz, um risco com impacto Crítico, mesmo com probabilidade Média, é prioritário.
D
Nenhum dos riscos precisa de ação imediata. O Risco A tem impacto Baixo e o Risco B tem probabilidade Média, portanto, ambos podem ser aceitos sem lralamento.
E
A prioridade só pode ser definida após a implementação de novos controles para ambos, devendo o auditor aguardar uma nova medição.