Questão 770836

• Banca: CESPE / CEBRASPE
• Órgão: Banco da Amazônia
• Ano: 2012
• Provas: CESPE - 2012 - Banco da Amazônia - Técnico Científico - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos

A existência de vulnerabilidade, ainda que não se verifique ameaça a ela relacionada, requer, necessariamente, a implementação de controle apropriado.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• Para resolver essa questão é necessário ter em mente os seguintes conceitos, segundo a 27002:
  vulnerabildade: fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças;
  
  ameaça: causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização;
  risco: combinação da probabilidade de um evento e de suas conseqüências
  controle: forma de gerenciar o risco, incluindo políticas, procedimentos, diretrizes, práticas ou estruturas organizacionais, que podem ser de natureza administrativa, técnica, de gestão ou legal 
  
  Como o risco é combinação da probabilidade de um evento e de suas consequências, e no texto da questão afirma que não foi verificado ameaça alguma a vulnerabilidade, então o risco é ZERO. Por isso, a vulnerabilidade não requer necessariamente a implementação de um controle apropriado.
• Identificação de Vulnerabilidades.
  
  A presença de uma vulnerabilidade não causa prejuízo por si só, pois precisa haver uma ameaça presente para explorá-la. Uma vulnerabilidade que não tem uma ameaça correspondente pode não requerer a implementação de um controle no presente momento, mas convém que ela seja reconhecida como tal e monitorada, no caso de haver mudanças.
  
  Como notado, não há a obrigação da implementação imediata do controle, existe sim um aconselhamento para implementação futura para o caso onde ocorram alterações no contexto.

• Nosso colega Diogo Brasil esqueceu de citar a fonte. Segue ela para ajudar os demais colegas.

  Segundo a ISO IEC 27005:2011,"8.2.5 Identificação das vulnerabilidades

  A presença de uma vulnerabilidade não causa prejuízo por si só, pois precisa haver uma ameaça presente para explorá-la. Uma vulnerabilidade que não tem uma ameaça correspondente pode não requerer a implementação de um controle no presente momento, mas convém que ela seja reconhecida como tal e monitorada, no caso de haver mudanças."