Julgue o seguinte item, a respeito de segurança da informação. É por meio do tratamento de riscos que se identificam e se estimam os riscos, considerando-se o uso sistemático de in

Gabarito

Errado

Comentário do professor

Resposta: A afirmação é errada porque confunde etapas do processo de gestão de riscos.

Segundo a norma ISO 27005, antes do tratamento de riscos há a definição do contexto e a avaliação de riscos, que engloba a identificação, a análise e a avaliação (estimativa) dos riscos. Nessa fase mapeiam-se ativos, ameaças, vulnerabilidades e impactos, e calcula-se a probabilidade e a magnitude do risco.

O tratamento ocorre depois: consiste em selecionar e aplicar medidas de resposta para modificar os riscos identificados, por exemplo implementar controles, aceitar, transferir ou evitar o risco. Portanto, identificar e estimar riscos não é parte do tratamento, mas sim da avaliação prévia.