Acerca de segurança da informação e com base nas normas da ABNT aplicáveis à temática, julgue o próximo item. As decisões acerca da retenção do risco são tomadas com base na inclus

Gabarito

Errado

Comentário do professor

A afirmação está errada porque confunde duas etapas distintas do gerenciamento de risco. A retenção do risco consiste em assumir o risco identificado, com base na avaliação e em análise custo‑benefício, ou seja, decidir não adotar ações adicionais.

Decisões sobre a inclusão, exclusão ou alteração de controles visam alterar o nível de risco e fazem parte das medidas de tratamento do risco para reduzir ou eliminar a ameaça, não de retenção. Assim, quem escolhe modificar controles pretende justamente mudar a exposição ao risco, enquanto a retenção implica aceitar o risco tal como está.

Portanto, afirmar que retenção se baseia em incluir/excluir/alterar controles é incorreto; retenção corresponde à aceitação do risco sem implementação de controles adicionais, conforme as normas aplicáveis (ISO/ABNT sobre gestão de riscos).