Acerca de gestão de segurança da informação, julgue o item a seguir, com base na NBR ISO/IEC 27001:2013. A organização deverá realizar avaliações de riscos de segurança da informaç

Gabarito

Errado

Comentário do professor

A afirmação está errada porque a ISO/IEC 27001:2013 exige que a avaliação de riscos seja parte integrante do sistema de gestão de segurança da informação, realizada de forma planejada e contínua, não apenas esporadicamente.

O padrão obriga a organização a estabelecer um processo de avaliação e tratamento de riscos (ver cláusula 6.1.2), definindo critérios, responsabilidades e periódicos revisões.

Além de ocorrer sempre que houver alterações significativas, a avaliação deve ser periódica e também acionada por incidentes, mudanças no contexto organizacional, novas vulnerabilidades ou evidências que alterem o nível de risco.

Conclui-se que limitar avaliações apenas a alterações significativas torna o SGSI reativo e não atende ao princípio de melhoria contínua exigido pela norma.