Questão 3359725

• Banca: CESPE / CEBRASPE
• Órgão: TJ-PA
• Ano: 2020
• Provas: CESPE / CEBRASPE - 2020 - TJ-PA - Analista Judiciário - Análise de Sistemas (Suporte)
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos

Texto 4A04-III

Determinado tribunal atende atualmente 325 estruturas judiciárias, entre as quais, 112 comarcas, promovendo acesso aos sistemas judiciários e salvaguarda dos processos digitais. Em razão da importância regional do tribunal, foi implantada uma gestão de risco institucional, com o objetivo de identificação, mensuração e tratamento do risco, com intuito de atender a população de forma ininterrupta. Alinhado com o processo de risco, foi disparado o processo de continuidade de negócio, tendo ficado a cargo do gestor da área de tecnologia da informação e comunicações (TIC) o plano de recuperação de negócio. O datacenter do tribunal conta com sala cofre, nobreaks, geradores, equipamentos de refrigeração e sistema de supressão de incêndio de alta disponibilidade. Estima-se em torno 15 dias a recuperação do ambiente a partir do zero, o que significa reconfigurar todos os servidores e posteriormente recuperar os becapes. A restauração dos serviços críticos para um ambiente secundário, no qual já estejam configurados os servidores, mas necessitam de sincronização dos dados, leva em torno de dois dias. O tempo total de recuperação de negócio dos serviços críticos de TIC do tribunal não pode exceder três dias. Outro ponto de interesse é o cenário de restrição econômica do país, refletido no tribunal.

A partir das informações apresentadas no texto 4A04-III, e após a análise de risco dos sítios principais e redundantes, o gestor de TIC optou por colocar toda a infraestrutura na nuvem, tendo estabelecido níveis de acordos de serviços rígidos e com redundância. Nesse caso, com relação ao risco associado à disponibilidade e à recuperação dos serviços críticos de TIC, o tratamento adotado foi

• A. aceitar.
• B. evitar.
• C. transferir.
• D. explorar.
• E. mitigar.

Gabarito: C

Comentários

• Numa primeira leitura, fiquei entre "transferir" e "mitigar". Afinal, existem nuvens privadas. Matei a questão quando reli e vi menção a um "Acordo de Nível de Serviço". ANS são feitos da empresa com entidades externas, se bem me lembro, enquanto "Acordos de Nível Operacional" são feitos entre áreas da mesma entidade.

  Resposta: C - Transferir

• Assertiva C

  Segundo o PMBOK, existem quatro estratégias para os riscos negativos: prevenir (ou evitar), transferir, mitigar e aceitar...

  Transferir – confere à outra parte a responsabilidade por seu gerenciamento. As transferências podem ser através de seguros, clausulas contratuais, limites de responsabilidades, garantias, etc... A transferência de um risco não o elimina nem diminui a probabilidade de sua ocorrência, apenas discute quem ficará com o ônus. É o caso de contratos com clausula de desempenho. Neste caso estaremos passando parte do risco para a contratada. Notar apenas que, às vezes, ao compartilharmos o risco, a atitude do parceiro pode mudar para melhor em relação a esses riscos.

• Estratégias para riscos negativos ou ameaças:

  Eliminar ou Prevenir: remover em 100% a probabilidade que a ameaça ocorra. Exemplo: cancelar o projeto;

  Transferir: transferir total ou parcial o impacto em relação a uma ameaça para um terceiro. Exemplo: fazer um seguro;

  Mitigar: reduzir a probabilidade e/ou impacto de um risco. Exemplo: Redundância de recursos;

  Aceitar: de forma ativa, estabelecendo plano de contingência caso o evento ocorra, ou de forma passiva, o risco será tratado quando ocorrer.