A norma ABNT NBR ISO/IEC 27005 fornece diretrizes para o processo de gestão de riscos de segurança da informação. Essa norma mostra um processo de gestão de riscos de segurança da

Gabarito

B

Comentário do professor

A alternativa correta apresenta a sequência adotada pela ABNT NBR ISO/IEC 27005 para o processo de avaliação de riscos: identificação de riscos, análise de riscos e avaliação de riscos.

Na identificação levantam‑se ativos, ameaças, vulnerabilidades e eventos que podem comprometer a informação. É a etapa de mapeamento, sem ainda hierarquizar perigos.

Na análise estima‑se a probabilidade e o impacto desses eventos, por métodos qualitativos ou quantitativos, gerando uma medida do risco para cada cenário identificado.

Finalmente, na avaliação os resultados da análise são confrontados com os critérios de risco da organização para priorizar quais riscos exigem tratamento. Essa ordem garante decisão informada e coerente sobre as respostas aos riscos.