Questão 697303

• Banca: FCC
• Órgão: TRE-SP
• Ano: 2012
• Provas: FCC - 2012 - TRE-SP - Analista Judiciário - Análise de Sistemas
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos

Sobre a gerência de riscos é INCORRETO afirmar:

• A. Pode-se responder ao risco de cinco formas diferentes: evitando, transferindo, reduzindo, aceitando e ignorando.
• B. As ameaças precisam ser definidas quanto ao grau de exposição que apresentam para o ativo em questão. Quando se define o grau da ameaça, deseja-se determinar o quanto existe daquela ameaça, independente do ativo ao qual se está referindo para aquela ameaça.
• C. Além de avaliar as ameaças e vulnerabilidades, é importante chegar a um indicador de impacto, ou seja, do prejuízo estimado para um incidente de segurança da informação envolvendo um determinado ativo de um determinado processo de negócio.
• D. A avaliação do risco propriamente dita nada mais é do que comparar a estimativa de risco contra os critérios de risco para determinar os níveis de riscos de incidentes de segurança da informação. Normalmente, quanto maior o impacto e a probabilidade, maior será o risco.
• E. A análise de risco é a parte principal do sistema de gestão da segurança da informação, pois sem essa análise seria praticamente impossível determinar o conjunto adequado de medidas de segurança e garantir qualquer nível de sinergia nas ações tomadas.

Gabarito: A

Comentários

• Respostas ao risco: transferindo, reduzindo, aceitando
• De acordo com a norma ISO 27002 os tratamentos para os riscos são os seguintes:
  
  - Aplicar controles apropriados para REDUZIR OS RISCOS.
  - Conhecer e objetivamente ACEITAR OS RISCOS.
  - EVITAR RISCOS, não permitindo ações que poderiam causar a existência de riscos.
  - TRASNFERIR OS RISCOS para outra parte, por exemplo, fornecedores ou seguradoras.
  
  NÃO SE FALA EM IGNORAR OS RISCOS
  
  
• Estratégias de Resposta aos Riscos
  
  Evitar: mudar o Plano de projeto p/eliminar o risco
  Transferir: Transferir as conseqüências e as respostas a ao risco para um terceiro
  Aceitar: Não mudar o plano de projeto
  Mitigar: reduzir a probabilidade ou o impacto do risco
  
  Fonte: PMBOK 4a. edição
• A 27001 usa o termo “aceitação do risco” em vez de “retenção do risco”.
  "RETA" (Reduzir, Evitar, Transferir, Aceitar/Reter)

• Se a Gerência de Riscos é toda baseada no análise de riscos você não pode simplesmente ignorar o risco, senão não teria sentido.
  

• Complemento segundo a ISO 27005.

  Segundo a NBR ISO/IEC 27005:2008,"

  9 Tratamento do risco de segurança da informação

  9.1 Descrição geral do processo de tratamento do risco

  Diretrizes para implementação:

  Há quatro opções disponíveis para o tratamento do risco: redução do risco (ver 9.2), retenção do risco (ver 9.3), evitar o risco (ver 9.4) e transferência do risco (ver 9.5)."

• Ignorar, apesar de não estar explicito na ISO 27002, pode-se muito bem entender ignorar um risco. Lembra do algoritmo da avestruz quando se encontra um deadlock. Sendo o mais usado.

  http://pt.wikipedia.org/wiki/Algoritmo_do_avestruz
  

  O algoritmo simplesmente é ignorar que uma aplicação multithread pode entrar em deadlock, até porque o custo seria muito alto e a probablilidade de acontecer pode ser muito baixa. Então seria melhor ignora-lo.
  Eu entendo isso como uma forma de aceitar um risco, ou seja, aceita-lo que existe e simplesmente não fazer nada para trata-lo, ou seja, ignora-lo.

• Não se ignora riscos, o que se pode fazer é aceitá-los.

• Eliminar ou Ignorar NUNCA.... 

• RISCOS...

  PODE: REDUZIR, ACEITAR, EVITAR, TRANSFERIR, IDENTIFICAR, ANALISAR, AVALIAR, TRATAR, ESTABELECER SEU CONTEXTO, PREVENIR, MITIGAR, MINIMIZAR, ELIMINAR, CONTROLAR, PREVINIR, RENTER, ACEITAR.

  NÃO PODE: TRANSFORMAR E IGNORAR