Questão 3046717

• Banca: FCC
• Órgão: Câmara Legislativa do Distrito Federal
• Ano: 2018
• Provas: FCC - 2018 - Câmara Legislativa do Distrito Federal - Consultor Técnico Legislativo - Analista de Sistemas Área 3
• Disciplina: Segurança da Informação
• Assuntos: Norma 27005

Em uma organização os critérios de aceitação do risco dependem frequentemente das políticas, metas e objetivos, assim como dos interesses das partes interessadas. Segundo a norma ABNT NBR ISO/IEC 27005:2011, cada organização pode definir sua própria escala de níveis de aceitação do risco, considerando que critérios para a aceitação do risco

• A. não podem ser diferenciados de acordo com o tempo de existência previsto do risco, pois os riscos não estão associados a atividades temporárias ou de curto prazo.
• B. devem incluir apenas um limite, representando um nível desejável de risco, porém precauções devem ser tomadas por gestores de TI para que não sejam aceitos riscos acima desse nível.
• C. devem ser expressos como a razão entre o efeito estimado e a probabilidade da ocorrência do risco.
• D. diferentes podem ser aplicados a classes de risco diferentes, por exemplo, riscos que podem resultar em não conformidade com regulamentações ou leis podem não ser aceitos, enquanto riscos de alto impacto podem ser aceitos se isto for especificado como um requisito contratual.
• E. não podem incluir requisitos para um tratamento adicional futuro, já que tentativas de ações futuras para reduzir o risco a um nível aceitável podem falhar.

Gabarito: D

Comentários

• Analisando as alternativas

   a) não podem ser diferenciados de acordo com o tempo de existência previsto do risco, pois os riscos não estão associados a atividades temporárias ou de curto prazo. 

  Errada. Então quer dizer que os riscos são sempre iguais?

   

  b) devem incluir apenas um limite, representando um nível desejável de risco, porém precauções devem ser tomadas por gestores de TI para que não sejam aceitos riscos acima desse nível.

  Errada. Esse apenas deixa a alternativa completamente errada. Há outros erros

   

  c) devem ser expressos como a razão entre o efeito estimado e a probabilidade da ocorrência do risco. 

  Errada. Como assim devem...?

   

  e) não podem incluir requisitos para um tratamento adicional futuro, já que tentativas de ações futuras para reduzir o risco a um nível aceitável podem falhar. 

  Errada. Pode incluir para o futuro e a redução do risco pode falhar assim como não pode falahr

• A C fala sobre a matriz de risco, que é uma ferramenta de qualidade para a priorização de risco. Os critérios de aceitação não precisam necessariamente ser expressos dessa forma.

• Exatamente. Também discordo do gabarito.