Questão de Tecnologia da Informação · FGV TJ-AP 2024 (nº 73)

A identificação de riscos na ISO 27005 é o processo de encontrar, reconhecer e descrever os riscos de segurança da informação, que são eventos que podem causar danos aos ativos da empresa. Uma etapa fundamental desse processo é entender o que já está sendo feito para proteger esses ativos, ou seja, os controles existentes.

• (A) Incorreta: Fábio não está identificando o que precisa ser protegido (os ativos), mas sim como esses ativos estão sendo protegidos.
• (B) Incorreta: Fábio não está buscando eventos que podem causar danos (as ameaças), mas sim avaliando as defesas contra esses eventos.
• (C) Correta: A ISO 27005:2011, em sua seção de identificação de riscos, inclui a tarefa de identificar os controles de segurança existentes. Fábio está exatamente verificando, descartando e substituindo controles, o que se enquadra perfeitamente na avaliação do estado atual dos controles para entender o cenário de risco.
• (D) Incorreta: Embora controles obsoletos possam gerar vulnerabilidades, a ação direta que Fábio está realizando é a verificação e gestão dos controles. A identificação de vulnerabilidades seria a etapa de reconhecer as fraquezas que as ameaças poderiam explorar, muitas vezes resultante da análise dos controles existentes e suas deficiências. A armadilha aqui é que um controle obsoleto contribui para uma vulnerabilidade, mas a tarefa de Fábio é a análise do próprio controle.
• (E) Incorreta: Fábio não está avaliando o impacto ou o dano que um incidente causaria (as consequências), mas sim as medidas preventivas e detectivas em vigor.