Questão FC515020
Julgue o item a seguir, relativo à certificação digital, à gestão de riscos e ao disposto na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais − LGPD). De acordo com a N
Gestão da Segurança da Informação
CEBRASPE (CESPE) · 2025
Julgue o item a seguir, relativo à certificação digital, à gestão de riscos e ao disposto na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais − LGPD).
De acordo com a NBR ISO/IEC 27005, um propósito viável para a gestão de riscos de segurança da informação é definir a execução de políticas e procedimentos, incluindo-se a implementação dos controles selecionados.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação é errada porque a NBR ISO/IEC 27005 distingue entre o propósito da gestão de riscos e as atividades operacionais. O propósito (ou finalidade) define a razão estratégica para conduzir a gestão de riscos, por exemplo suporte a um SGSI, continuidade de negócios ou resposta a incidentes.
Por outro lado, a definição e implementação de políticas e controles são parte da abordagem e das ações previstas no plano de tratamento do risco, que dependem da análise, da seleção de opções (aceitar, mitigar, transferir ou eliminar) e dos recursos disponíveis. Assim, executar políticas e controles não é um propósito, mas uma atividade decorrente do processo.
Portanto, classificar a implementação de controles como propósito da gestão de riscos contraria a estrutura conceitual da norma.
Conteúdo do catálogo FC Concursos · Atualizado em