Questão FC375699
Sobre tratamento de riscos de segurança da informação constante em ABNT NBR ISO/IEC 27001:2013, assinale a afirmativa INCORRETA.
Questões sem classificação de assunto (TI - Segurança da Informação)
Instituto Consulplan · 2024
Sobre tratamento de riscos de segurança da informação constante em ABNT NBR ISO/IEC 27001:2013, assinale a afirmativa INCORRETA.
- A declaração de aplicabilidade deve conter os controles necessários e a justificativa para inclusões.
- Todos os riscos devem ser completamente eliminados após a implementação de controles adequados.
- As organizações devem definir e aplicar um processo de tratamento dos riscos de segurança da informação.
- As organizações podem projetar os controles conforme requerido ou identificá-los de qualquer outra fonte
Mostrar resposta e comentário
Gabarito
B
Comentário do professor
"Todos os riscos devem ser completamente eliminados após a implementação de controles adequados." está incorreta porque a norma não exige a eliminação total do risco.
A ABNT NBR ISO/IEC 27001:2013 trata o risco por meio de um processo de tratamento de risco que admite várias respostas: reduzir, aceitar, transferir ou evitar riscos, conforme contexto e critérios da organização.
Após implementar controles sempre haverá um risco residual. Cabe à alta direção avaliar esse risco residual e decidir sua aceitação ou adoção de medidas adicionais, considerando custo, impacto e viabilidade técnica.
O foco da norma é o gerenciamento contínuo e documentado dos riscos, não a sua erradicação absoluta, que muitas vezes é impraticável ou dispendiosa.
Conteúdo do catálogo FC Concursos · Atualizado em