Julgue o próximo item, a respeito da gestão de segurança da informação. Para a identificação de ameaças à segurança da informação, recomenda-se a realização de avaliações de risco

Gabarito

Certo

Comentário do professor

Certo. A realização de avaliações de risco regularmente permite detectar e priorizar ameaças e vulnerabilidades antes que se concretizem. Esse procedimento é parte integrante de normas como a ISO/IEC 27001 e sustenta decisões sobre controles, alocação de recursos e aceitação de risco.

Nas avaliações são mapeados ativos, identificadas vulnerabilidades, estimadas a probabilidade e o impacto, e registrado o risco em um risk register. O resultado orienta o plano de tratamento do risco, definindo mitigação, transferência, aceitação ou eliminação das exposições identificadas.

A periodicidade é essencial porque o cenário de ameaças, a tecnologia e o contexto organizacional mudam com frequência. Recomenda-se avaliação regular, ao menos anual e sempre após mudanças relevantes, para manter a segurança da informação efetiva e aderente a requisitos legais e contratuais.