Questão FC375520
Gerenciamento de riscos é o processo de planejar, organizar, conduzir e controlar as atividades de uma organização visando minimizar os efeitos do risco sobre o capital e o lucro d
Gestão da Segurança da Informação
Instituto Consulplan · 2023
Gerenciamento de riscos é o processo de planejar, organizar, conduzir e controlar as atividades de uma organização visando minimizar os efeitos do risco sobre o capital e o lucro de uma organização. Riscos podem surgir da incerteza do mercado financeiro, de falhas de projeto, de responsabilidades legais, de risco de crédito, de acidentes, de causas naturais e desastres, bem como de ataques deliberados de adversários.
(HINTZBERGEN, J.; HINTZBERGEN, K.; SMULDERS, A.; BAARS, H. Fundamentos de Segurança da Informação: com base na ISO 27001 e na ISO 27002. Brasport, 2018.)
De acordo com os conceitos relacionados à identificação, análise e tratamento de riscos, assim como o seu gerenciamento, assinale a afirmativa INCORRETA.
- Quando riscos são identificados, após a sua avaliação, uma decisão de tratamento deve ser tomada para cada um dos riscos.
- Em grandes organizações, ISO ou CISO são pessoas responsáveis pelo processo de gerenciamento de risco, sendo considerado um processo contínuo.
- É possível realizar uma análise de riscos puramente quantitativa com o objetivo de calcular, com base no impacto do risco, o nível do prejuízo financeiro e a probabilidade de uma ameaça se tornar um incidente.
- A avaliação do risco deve incluir uma abordagem sistemática para estimar a magnitude dos riscos (análise do risco) e o processo de comparar o risco estimado em relação a um critério, a fim de determinar a importância do risco (estimativa do risco).
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A assertiva é incorreta porque a ideia de uma análise puramente quantitativa desconsidera limitações práticas: muitas variáveis envolvidas não têm dados históricos ou mensuráveis com precisão, tornando obrigatório o uso de julgamento qualitativo.
Em teoria pode-se representar risco como \(R = P \times I\) (probabilidade × impacto) ou calcular perdas esperadas, mas esses números dependem de estimativas que frequentemente são subjetivas — classificação de impacto (pequeno/médio/grande) e cenários complexos exigem avaliação qualitativa.
Assim, avaliações robustas adotam abordagens mistas: técnicas quantitativas quando há dados confiáveis e complementação qualitativa para riscos intangíveis, interdependências e incertezas.
Conteúdo do catálogo FC Concursos · Atualizado em