Em relação ao gerenciamento de riscos, julgue o item seguinte. Um evento que venha a causar impacto negativo na confidencialidade de uma informação pode ser considerado uma ameaça.

Gabarito

Certo

Comentário do professor

A afirmação é certa porque, na gestão de riscos em segurança da informação, ameaça é qualquer fator ou evento capaz de causar dano a ativos informacionais. Logo, um evento que gere impacto negativo na confidencialidade enquadra‑se como ameaça, pois compromete um dos pilares da segurança (CIA).

Convém distinguir conceitos: ameaça é a fonte ou causa (potencial ou já ocorrida) de um evento adverso; vulnerabilidade é a fraqueza explorável; incidente é o evento concretizado. Bancas costumam aceitar definição ampliada de ameaça, incluindo eventos efetivados que comprometem a segurança.

Na análise de risco isso importa porque o tratamento depende da exposição, medida por \(Risco = Probabilidade \times Impacto\). Identificar um evento que atinge a confidencialidade como ameaça orienta a adoção de controles mitigadores.