Questão 801277

• Banca: CESPE / CEBRASPE
• Órgão: MEC
• Ano: 2011
• Provas: CESPE - 2011 - MEC - Gerente de Segurança
• Disciplina: Segurança da Informação
• Assuntos: Norma ISO 27001

Julgue os próximos itens, relativos a sistema de gestão de segurança
da informação (SGSI).

A formulação de um plano de tratamento de riscos é uma das atividades que ocorre após a implementação e operação de um SGSI.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• ERRADA
  A formulação de um plano de tratamento de riscos é uma das atividades que ocorre quando se elabora o projeto de implantação de um SGSI

• A formulação de um plano de tratamento de riscos é uma das atividades que ocorre após a implementação e operação de um SGSI.
  A formulação do plano de tratamento de riscos ocorre durante a fase DO do PDCA (implementação e operação)
  "4.2.2 Implementar e operar o SGSI
  A organização deve:
  a) Formular um plano de tratamento de riscos que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão dos riscos de segurança (ver seção 5)." ISO 27001

• Quanto à formulação e não implementação do plano de tratamento de risco
  

  1) define-se a abordagem de análise/avalição através de uma metodologia e critérios para aceitação e identificação de níveis aceitáveis de risco

  2) identificar os riscos

  3) analisar e avaliar os riscos

  4) identificar e avaliar as opções para o tratamento de riscos, podendo aplicar os controles adequados; aceitando-os desde que satisfaçam os critérios de aceitação definidos pela direção; evitá-los e transferí-los a outras partes

  Toda essa evolução é contemplada no item 4.2.1 c até 4.2.1 f, na fase de estabelecimento(plan) do SGSI