Questão 1428790

• Banca: CESGRANRIO
• Órgão: LIQUIGÁS
• Ano: 2012
• Provas: CESGRANRIO - 2012 - LIQUIGAS - Profissional Júnior - Desenvolvimento de Aplicações
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

Os resultados da análise/avaliação de riscos ajudam a direcionar e determinar as ações gerenciais apropriadas e as prioridades para o gerenciamento e para a implementação dos controles selecionados para a proteção contra esses riscos.

De acordo com a ISO/IEC 27002,

• A. o escopo de uma análise/avaliação de riscos deve ser, obrigatoriamente, toda a organização, pois essa é a única forma de garantir a segurança de forma integral.
• B. o processo de avaliar os riscos de segurança da informação e selecionar os controles deve ser realizado apenas uma vez, preferencialmente antes da implantação de qualquer sistema, de forma antecipada, para que se possam evitar situações inesperadas
• C. as análises/avaliações de riscos são muito peculiares e específicas, por isso não podem ser realizadas de forma metódica nem são capazes de gerar resultados que podem ser comparados ou reproduzidos.
• D. convém que a análise/avaliação de riscos de segurança da informação tenha um escopo claramente definido para ser eficaz e que inclua relacionamentos com as análises/avaliações de riscos em outras áreas, se necessário.
• E. convém que as análises/avaliações de riscos identifiquem, quantifiquem e priorizem os riscos com base em critérios para a aceitação dos riscos e dos objetivos relevantes não apenas para a organização e sim para toda a comunidade de atuação e seu mercado.

Gabarito: D

Comentários

• Coloco a correção das erradas também. Respostas conforme o tópico da iso 27002, 4.1 Analisando/avaliando os riscos de segurança da informação.

  A)(ERRADA). Na verdade o escopo de uma análise/avaliação de riscos pode tanto ser em toda a organização, partes da organização, em um sistema de informação específico, em componentes de um sistema específico ou em serviços onde isto seja praticável, realístico e útil.

  ____________________________

  B)(ERRADA). Na verdade o processo de avaliar os riscos e selecionar os controles pode precisar ser realizado várias vezes, de forma a cobrir diferentes partes da organização ou de sistemas de informação específicos.

  ____________________________

  C) (ERRADA).   Na verdade essas análises/avaliações de riscos devem ser realizadas de forma metódica, capaz de gerar resultados comparáveis e reproduzíveis.

  ____________________________

  D) (CORRETA).

  ____________________________

  E) (ERRADA).    Na verdade é com base em critérios para aceitação dos riscos e dos objetivos relevantes para a organização.
  

• Claro, pq deveria ser em toda a organização...posso fazer uma análise e avaliação de risco em uma prova de conceito, p ex...