Questão FC483103
Em relação à gestão de segurança da informação, julgue o item subsequente. Segundo a NBR ISO/IEC 27001, um processo de avaliação de riscos de segurança da informação deve estabelec
Gestão da Segurança da Informação
CEBRASPE (CESPE) · 2024
Em relação à gestão de segurança da informação, julgue o item subsequente.
Segundo a NBR ISO/IEC 27001, um processo de avaliação de riscos de segurança da informação deve estabelecer e manter critérios de risco que incluam a eliminação e a avaliação dos riscos.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação é ERRADO porque confunde o papel das normas e o conteúdo dos critérios de risco. A NBR ISO/IEC 27001 exige que a organização defina a abordagem do processo de avaliação de riscos e critérios para avaliar riscos, mas não detalha as opções de tratamento.
A norma que especifica diretrizes e opções de tratamento é a NBR ISO/IEC 27005. Essa norma indica quatro opções de tratamento: modificar, reter, evitar e compartilhar. A eliminação não é listada como opção distinta.
Além disso, os critérios de risco estabelecem parâmetros para análise e aceitabilidade (níveis, métricas, responsabilidades), não incluem a própria avaliação dos riscos, que é uma atividade do processo.
Conteúdo do catálogo FC Concursos · Atualizado em