Questão 1585252

• Banca: FCC
• Órgão: TCE-CE
• Ano: 2015
• Provas: FCC - 2015 - TCE-CE - Analista de Controle Externo-Auditoria de Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Norma 27005

Segundo a norma NBR ISO/IEC 27005:2011, que trata da Gestão de Riscos de Segurança da Informação,

• A. atividades de análise/avaliação de riscos só podem ser realizadas uma vez no processo de Gestão de Riscos.
• B. as opções de tratamento do risco são: reduzir o risco, reter o risco, evitar o risco e ignorar o risco.
• C. a atividade de tratamento do risco será iniciada somente se a avaliação do risco for satisfatória.
• D. atividades de tratamento de riscos só podem ser realizadas uma vez no processo de Gestão de Riscos.
• E. a atividade de análise/avaliação de riscos é composta pelas sub-atividades: identificar os riscos, estimar os riscos, classificar os riscos e responder aos riscos.

Gabarito: C

Comentários

• Na letra a a analise/avaliação de risco pode ser feita quantas vezes for necessário, ou até que tenha resultados para iniciar o tratamento de risco, o que já leva a resposta (letra c), e o tratamento pode ser: reduzir o risco, reter o risco, transferir o risco ou evitar o risco, o que torna a letra b também errada.
  e na letra e não existe a sub-atividade responder aos riscos 

• ERRADA       A) Segundo a ISO 27005:2011,"(...) pode ser necessária uma outra iteração do processo de avaliação de riscos, com mudanças nas variáveis do contexto (...)"

  _________________________________________

  
  

  ERRADA     B)Segundo a norma," Há quatro opções disponíveis para o tratamento do risco: modificação do risco (ver 9.2), retenção do risco (ver 9.3), ação de evitar o risco (ver 9.4) e compartilhamento do risco (ver 9.5).

  
  

  _______________________________________

  CORRETA. C) Segundo a norma,"A eficácia do tratamento do risco depende dos resultados do processo de avaliação de riscos."

  ________________________________________

  ERRADA. D) (...) seguida por uma fase adicional de tratamento do risco (...)

  ________________________________________

  ERRADA. E) 

  O processo de avaliação de riscos consiste nas seguintes atividades: 
  Identificação de riscos (Seção 8.2); Análise de riscos (Seção 8.3);

  
  Avaliação de riscos (Seção 8.4).

  ________________________________________

  "

• Análise de riscos: indetificação de riscos, estimativa de riscos.