Questão FC266886
Segundo a Norma ABNT NBR ISO/EC 27001:2013, sobre “Tratamento de riscos de segurança da informação”, a organização deve definir e aplicar um processo de tratamento dos riscos de se
Gestão da Segurança da Informação
IDECAN · 2022
Segundo a Norma ABNT NBR ISO/EC 27001:2013, sobre “Tratamento de riscos de segurança da informação”, a organização deve definir e aplicar um processo de tratamento dos riscos de segurança da informação para
- selecionar, de forma apropriada, as opções de tratamento dos riscos de segurança da informação, levando em consideração os resultados da avaliação do risco.
- determinar todos os controles que não são necessários para implementar as opções escolhidas do tratamento do risco da segurança da informação.
- elaborar uma declaração de aplicabilidade que contenha os controles não necessários, e a justificativa para inclusões, sejam eles implementados ou não.
- preparar um contrato para tratamento dos riscos de segurança da informação.
- obter a aprovação dos usuários sobre o plano de tratamento dos riscos de segurança da informação e a aceitação dos riscos residuais de segurança da informação.
Mostrar resposta e comentário
Gabarito
A
Comentário do professor
A norma exige que a organização estabeleça um processo de tratamento dos riscos que tenha como primeiro passo selecionar, de forma apropriada, as opções de tratamento compatíveis com os resultados da avaliação do risco.
Isso significa escolher entre estratégias como mitigação, aceitação, transferência ou evitação, ponderando probabilidade, impacto e níveis de risco residuais.
A seleção deve considerar o contexto da organização: requisitos legais, objetivos do negócio, custo-benefício das medidas e a viabilidade técnica/operacional.
Após a escolha, espera-se que a organização documente e justifique as opções no plano de tratamento, vincule-as a controles específicos e obtenha a responsabilização pela aceitação dos riscos residuais.
Conteúdo do catálogo FC Concursos · Atualizado em