A Norma ABNT NBR ISO/IEC 27001:2022 recomenda que as organizações estabeleçam e apliquem um processo de tratamento de riscos de segurança da informação para:

Gabarito

D

Comentário do professor

A alternativa apontada como correta enfatiza que, no processo de tratamento de riscos da ISO/IEC 27001:2022, é preciso determinar os controles que são necessários para colocar em prática as opções de tratamento escolhidas.

Isso significa traduzir as decisões de redução, mitigação, aceitação ou transferência de risco em medidas concretas: políticas, procedimentos, tecnologias e responsabilidades que efetivamente implementem essas opções.

Na prática, a organização pode projetar controles ou adotá‑los de fontes externas e deve registrar essas decisões (por exemplo, na Declaração de Aplicabilidade), justificando a necessidade de cada controle e seu estado de implementação.

Esse passo garante que as escolhas de tratamento não fiquem abstratas, mas sejam convertidas em ações mensuráveis e auditáveis.