Questão 770845

• Banca: CESPE / CEBRASPE
• Órgão: Banco da Amazônia
• Ano: 2012
• Provas: CESPE - 2012 - Banco da Amazônia - Técnico Científico - Segurança da Informação
• Disciplina: Segurança da Informação
• Assuntos: Análise de Vulnerabilidade e Gestão de Riscos

A definição, pela organização, dos critérios para aceitação do risco depende de suas políticas, metas e objetivos. Uma vez definidos, esses critérios devem ser utilizados para todas as classes de risco.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• Errado.
  Existem classes de risco.
  Gravíssimo - Grave - Mediato - Leve
  Riscos baixos podem ser aceitados (ou assumidos) dependendo da política, metas e objetivos da organização.
  Já riscos altos, por exemplo, os gravíssimos ou graves, não deve ser simplesmente assumidos sem trata-los.

•   [...] devem ser utilizados para todas as classes de risco. (Trecho errado, o restante está correto)

  Segundo a ISO 27005,p.10,"

  7.2 Critérios básicos

  Critérios para a aceitação do risco

  Diferentes critérios para a aceitação do risco podem ser aplicados a diferentes classes de risco, por exemplo: riscos que podem resultar em não conformidade com regulamentações ou leis podem não ser aceitos, enquanto riscos de alto impacto poderão ser aceitos se isto for especificado como um requisito contratual."

• Sobre a primeira parte que está correta. a PARTE ERRADA eu comentei na minha outra postagem logo abaixo.

  Segundo a ISO 27005,"

  Critérios para a aceitação do risco

  Convém que os critérios para a aceitação do risco sejam desenvolvidos e especificados e dependam freqüentemente das políticas, metas e objetivos da organização, assim como dos interesses das partes."