Julgue o item a seguir, a respeito de atributos da informação, gestão de riscos em segurança da informação, gestão de segurança da informação, controles de segurança cibernética e

Gabarito

Errado

Comentário do professor

A afirmação é ERRADA porque a adoção das normas ISO 31000/31010/27005 estrutura um processo sistemático de gestão de riscos, mas não elimina todas as vulnerabilidades de um sistema.

Mesmo com avaliações rigorosas e a aplicação de controles, sempre haverá limitações técnicas, custo, erros humanos, vulnerabilidades desconhecidas (zero‑day) e mudanças no ambiente de ameaça que geram riscos residuais.

As próprias normas reconhecem que o risco não desaparece totalmente; elas orientam identificação, análise, tratamento e monitoramento contínuo.

Matematicamente: \( \text{Risco residual} = \text{Risco inerente} - \text{Controles} \).

O objetivo é reduzir e gerir o risco a níveis aceitáveis, por meio de estratégias como mitigar, transferir, aceitar ou evitar, além de revisar continuamente medidas e lições aprendidas.