Julgue o item subsecutivo, relativos a gerenciamento de riscos de TI. O propósito da identificação de riscos é compreender a natureza do risco e suas características, e envolve a c

Gabarito

Errado

Comentário do professor

A afirmação foi julgada como errada porque confunde duas etapas distintas do gerenciamento de riscos: identificação e análise.

Na identificação o objetivo é localizar e descrever riscos potenciais: identificar ativos, ameaças, vulnerabilidades e controles existentes, sem entrar em avaliações aprofundadas.

Já a análise de risco é a etapa seguinte, quando se avalia a natureza e as características dos riscos, estimando probabilidade, impacto, cenários e a eficácia dos controles. É nessa fase que se consideram incertezas e consequências em detalhe.

Portanto, afirmar que a identificação envolve considerações detalhadas sobre probabilidade, consequências e eficácia dos controles está incorreto; essas atividades pertencem à análise e à avaliação de riscos, conforme boas práticas como a ISO/IEC 27005.