Questões de Concurso sobre Gestão de Riscos em Segurança da Informação

Conforme a norma em apreço, um controle implementado que funcione mal ou que seja usado incorretamente é incapaz de representar por si só uma vulnerabilidade, o que ocorrerá somente se houver uma ameaça associada.

Segundo a NBR n.º 27005:2019, a abordagem da gestão de riscos de segurança da informação define que se deve adotar um método de fazer a gestão da segurança para todos os processos existentes para facilitar o treinamento dos colaboradores.

Na análise de riscos sobre os ativos de TI de uma organização, é comum estabelecer níveis de risco para cada ameaça identificada. Também é importante identificar os possíveis tratamentos e seus custos para decidir o que será feito. Nesse contexto, qual alternativa NÃO representa uma opção disponível à gerência para ser utilizada no julgamento sobre o tratamento de riscos?

A avaliação de riscos envolve a comparação dos resultados da análise de riscos frente aos critérios de riscos estabelecidos para determinar onde é necessária ação adicional.

De acordo com a ABNT NBR ISO/IEC 27005, assinale a opção que indica o processo de gestão de riscos de segurança da informação que prevê a identificação dos riscos, bem como sua priorização qualitativa, quando se usam como entradas, por exemplo, seu escopo e seus limites.

Experiências internas de incidentes e avaliações anteriores das ameaças não devem ser consideradas em avaliação de riscos após a ocorrência dos eventos relevantes.

Segundo a norma ISO/IEC 27005, o risco de segurança da informação é calculado com base na combinação da possibilidade de um incidente e de sua consequência.

O processo de aceitação do risco da gestão de riscos e segurança da informação está alinhado com o processo de planejamento do SGSI (sistema de gestão de segurança da informação).

Tecnologias, processos e pessoas são os níveis considerados para a implementação da gestão de riscos.

De acordo com o NIST Framework, a “Estratégia de Gerenciamento de Riscos”, que define as prioridades, restrições, tolerâncias de risco e suposições da organização estabelecidas e usadas para apoiar as decisões de risco operacional, é uma categoria da função:

Abordagem sobre a análise de riscos, segundo a ISO 27005, possui quatro objetivos principais. Assinale, das alternativas a seguir, a única que identifica incorretamente um desses objetivos.

O risco é o efeito da incerteza sobre os objetivos, muitas vezes identificado a partir a análise da probabilidade e do impacto de um evento ocorrer.

Antes de considerar o tratamento de um risco, a organização deve definir um critério para determinar se os riscos podem ou não ser aceitos. Uma decisão de tratamento do risco deve ser tomada para cada um dos riscos identificados após a avaliação de riscos. Possíveis controles para o tratamento do risco incluem: I. Aplicar os controles adequados para reduzir os riscos; II. Evitar riscos, não permitindo ações que possam causar a sua ocorrência; III. Transferir os riscos associados a outras partes, por exemplo, seguradoras ou fornecedores.

Está(ão) CORRETA(S):

Uma característica geral da NBR ISO/IEC 27005:2011 é que todas as fases e atividades da gestão de riscos são organizadas na forma de processos.

A ISO/IEC 27005:2011 fornece orientações para a gestão de riscos de segurança da informação. Assinale a alternativa que NÃO descreve uma etapa da gestão de riscos.

A Norma ISO 31000 – Gestão de Riscos – Diretrizes estabelece alguns princípios a serem seguidos para a gestão de riscos. Dentre tais princípios, essa norma estabelece que a gestão de riscos deve ser

O tratamento do risco limita-se a reduzir os riscos e definir o plano de tratamento do risco.

No contexto da norma ABNT NBR ISO 31000:2018, a análise de riscos tem como propósito compreender a natureza do risco, sendo conveniente que nessa análise sejam considerados fatores como os enumerados a seguir:

No contexto das diretrizes de gestão de riscos, apresentadas na norma ABNT NBR ISO 31000:2018, o processo de avaliação de um risco engloba as três seguintes etapas:

Na gestão de riscos e continuidade de negócio à luz da NBR ISO/IEC n.^o 27005:2011, o processo de avaliação de riscos inclui