Acerca da gestão dos riscos de segurança da informação, julgue o item que se segue. O tratamento do risco limita-se a reduzir os riscos e definir o plano de tratamento do risco.

Gabarito

Errado

Comentário do professor

A afirmação é errada porque restringe o conceito de tratamento do risco a apenas reduzir riscos e elaborar um plano.

Na prática e em normas como a ISO 31000 e a ISO 27001, o tratamento inclui escolhas estratégicas: mitigar, aceitar, transferir ou evitar o risco, além de implementar controles e definir responsáveis.

Antes do tratamento ocorrem etapas fundamentais: definição do contexto, identificação, análise e avaliação do risco. Depois vem implementação, monitoramento e revisão do tratamento.

Portanto, o tratamento não se limita à redução nem só à elaboração do plano; pode resultar em aceitação do risco ou em medidas que deixem um risco residual a ser gerido continuamente.