Questão FC483171
Com base na norma NBR ISO/IEC n.º 27005:2011, julgue o item seguinte, a respeito de gestão de riscos e continuidade de negócio. Conforme a norma em apreço, um controle implementado
Gestão da Segurança da Informação
CEBRASPE (CESPE) · 2023
Com base na norma NBR ISO/IEC n.º 27005:2011, julgue o item seguinte, a respeito de gestão de riscos e continuidade de negócio.
Conforme a norma em apreço, um controle implementado que funcione mal ou que seja usado incorretamente é incapaz de representar por si só uma vulnerabilidade, o que ocorrerá somente se houver uma ameaça associada.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação está errada porque confunde existência de vulnerabilidade com sua exploração. Segundo a ISO/IEC 27005:2011, uma vulnerabilidade é uma fraqueza em um ativo ou em um controle que pode ser explorada. Um controle mal implementado ou usado de forma incorreta constitui precisamente essa fraqueza, portanto é uma vulnerabilidade por si só.
A ameaça é a fonte potencial que pode explorar a vulnerabilidade; a materialização do risco depende da combinação entre ameaça, vulnerabilidade e impacto. Ou seja, a vulnerabilidade existe independentemente de já haver uma ameaça identificada, embora a presença da ameaça aumente a probabilidade de ocorrência do incidente.
Exemplo prático: um controle de acesso mal configurado é uma vulnerabilidade imediata, pois permite que um atacante, caso exista a ameaça, explore o acesso indevido e cause dano.
Conteúdo do catálogo FC Concursos · Atualizado em