Questão de Gestão de TI · FGV DPGE-RJ 2014 (nº 66)

A gestão de riscos de segurança da informação envolve identificar, analisar e decidir como lidar com as ameaças e vulnerabilidades que podem afetar os ativos de uma organização. O tratamento de risco é a ação tomada para gerenciar um risco.

• (A) Correta: Evitar o risco significa tomar medidas para eliminar completamente a possibilidade de o risco ocorrer. Isso pode ser feito ao eliminar a atividade que gera o risco ou mudar as condições de operação de forma tão drástica que o risco não exista mais. A descrição da questão se encaixa perfeitamente, especialmente quando outras opções de tratamento são inviáveis ou muito caras.
• (B) Incorreta: Compartilhar (transferir) o risco envolve passar a responsabilidade ou o impacto financeiro do risco para outra parte, como uma seguradora ou um parceiro. A descrição não menciona transferência.
• (C) Incorreta: Reter (aceitar) o risco é decidir não tomar nenhuma ação para mitigar o risco, aceitando as possíveis consequências. A questão descreve uma ação ativa ("eliminar uma atividade existente ou mudar as condições"), não uma aceitação passiva.
• (D) Incorreta: Modificar o risco (ou mitigar) significa tomar ações para reduzir a probabilidade de ocorrência ou o impacto do risco. A armadilha aqui é que "mudar as condições em que a operação da atividade ocorre" poderia ser uma modificação. No entanto, a frase "eliminar uma atividade existente" e o contexto de um risco "demasiadamente elevado" onde outras opções são caras, sugere uma ação mais definitiva do que apenas reduzir. Se a mudança de condições elimina o risco, é evitar; se apenas reduz, é modificar. A opção de "eliminar uma atividade" aponta claramente para a evitação.
• (E) Incorreta: Ignorar o risco não é uma estratégia formal de tratamento de risco; implica negligência ou falta de conhecimento, o que é inaceitável em uma gestão de riscos profissional.