Questão 480166

• Banca: FCC
• Órgão: INFRAERO
• Ano: 2011
• Provas: FCC - 2011 - INFRAERO - Analista de Sistemas - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: ISO 27002

De acordo com a ISO/IEC 27002:2005, para cada um dos riscos identificados, seguindo a análise/avaliação de riscos, uma decisão sobre o tratamento do risco precisa ser tomada. Uma possível opção para o tratamento do risco NÃO inclui

• A. transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores.
• B. evitar riscos, não permitindo ações que poderiam causar a ocorrência de riscos.
• C. conhecer e objetivamente aceitar os riscos, sabendo que eles atendem claramente à política da organização e aos critérios para a aceitação de risco.
• D. ignorar os riscos, pois os possíveis problemas causados impactam em um custo menor do que o necessário para o seu tratamento.
• E. aplicar controles apropriados para reduzir os riscos.

Gabarito: D

Comentários

• d) ignorar os riscos, pois os possíveis problemas causados impactam em um custo menor do que o necessário para o seu tratamento.
  Para cada um dos riscos identificados na análise/avaliação de riscos, uma decisão sobre o tratamento de risco precisa er tomada.
  São opções para o tratamento:
  1. Aplicar controle apropriados para reduzir os riscos
  2. Conhecer e objetivamente aceitar os riscos
  3. Evitar os riscos, não permitindo ações que poderiam causar a ocorrência do risco
  4. Transferir os riscos associados para outras partes, como seguradoras ou fornecedores.
  
  Norma ISO/IEC 27002
• Essa questão é tratada no item 4.2 da norma.
  
  A opção d esta errada, pois os riscos não podem ser ignorados. Eles podem ou não ser aceitos. Se for avaliado que o risco é baixo ou que o custo do tratamento não é economicamente viável para a organização. De qualquer forma TUDO deve ser registrado, ou seja, não é ignorado.

• MATE os riscos.

  Mitigar;

  Aceitar;

  Transferir; e 

  Evitar.

• LETRA D

  Riscos não podem ser ignorados. Todos os riscos identificados devem ser avaliados e partir daí deve ser determinada uma ação a ser tomada perante o risco: Mitigar;Aceitar;Transferir;Evitar.

  Lembrando que Aceitar riscos é muito diferente de Ignorá-los. o Primeiro pressupõem uma avaliação minuciosa e atendimento aos critérios de aceitação de riscos da organização, o segundo pressupõem uma desconsideração em relação ao risco sem avaliá-lo.