CERTO.
Segundo a ISO 27005,"
Diretrizes para implementação:
Há quatro opções disponíveis para o tratamento do risco: redução do risco (ver 9.2), retenção do risco (ver 9.3), evitar o risco (ver 9.4) e transferência do risco (ver 9.5).
"
_________________________________________________________
**Bom, a confusão da questão é o seguinte trecho: '(...) que não se confunde com a abstenção do tratamento do risco.', o que podemos interpretar como 'que não se confunde com deixar de realizar o tratamento do risco'. Isso é verdade, pois, quando transferimos um risco para um terceiro(por exemplo, seguradora), não quer dizer que deixamos de tratar o risco. Quer dizer apenas que naquele momento foi mais conveniente compartilhar certos riscos com entidades externas. Portanto, transferir um risco não se confunde com abster-se(leia-se deixar) de tratar um risco, visto que realizar a transferência de um risco consiste em uma das quatro possíveis formas de se tratar um risco. (Fui um pouco redundante, mas espero que compreendam!)
____________________________
ATUALIZANDO PRA ISO 27005:2011, visto que nessa versão os nomes tiveram leves mudanças.
Segundo a ISO 27005:2011,"Há quatro opções disponíveis para o tratamento do risco: modificação do risco (ver 9.2), retenção do
risco (ver 9.3), ação de evitar o risco (ver 9.4) e compartilhamento do risco (ver 9.5)."
**Na versão 2011, COMPARTILHAR O RISCO EQUIVALE A TRANSFERIR O RISCO DA VERSÃO DE 2008!