Questão de Tecnologia da Informação · FGV CVM 2024 (nº 6)

A avaliação de riscos na ISO/IEC 27001 é o processo de identificar, analisar e avaliar os riscos que podem afetar a segurança da informação de uma organização, para entender o que pode dar errado e qual o impacto.

• (A) Correta: Após identificar e analisar os riscos, a priorização é uma etapa crucial da avaliação de riscos (especificamente da avaliação de riscos, que é a última parte da avaliação de riscos) para decidir quais riscos são mais importantes e exigem tratamento imediato, orientando as ações futuras.
• (B) Incorreta: Determinar controles é parte da fase de tratamento de riscos, que vem depois da avaliação de riscos, onde se decide como lidar com os riscos identificados.
• (C) Incorreta: A obtenção de aprovação para riscos residuais ocorre após o tratamento dos riscos, quando se verifica o que restou e se é aceitável, não durante a avaliação inicial.
• (D) Incorreta: Considerar interfaces e dependências é uma atividade importante durante a identificação e análise de riscos (parte da avaliação), mas não é o "deve-se" principal que engloba todo o processo de avaliação, que culmina na priorização.
• (E) Incorreta: Selecionar opções de tratamento é uma atividade da fase de tratamento de riscos, que sucede a avaliação de riscos.