Questão de Tecnologia da Informação · FGV TJ-AP 2024 (nº 76)

O tratamento de riscos é o processo de decidir o que fazer com os riscos identificados, escolhendo e implementando medidas para lidar com eles e proteger os ativos da organização. A ISO 27005 detalha as opções para esse tratamento.

(A) Incorreta: Reter o risco significa aceitar o risco sem tomar medidas para reduzi-lo, o que não é o caso, pois a empresa propôs uma ação (mover as instalações).
(B) Incorreta: Modificar o risco é um termo mais amplo que engloba reduzir a probabilidade ou o impacto do risco. Embora mover as instalações modifique o risco, a ação descrita é mais específica e se encaixa melhor em uma categoria mais precisa de tratamento. A armadilha aqui é que "modificar" parece correto porque a situação do risco muda, mas existe uma opção mais específica e adequada para a ação de "eliminar" o risco daquele local.
(C) Correta: Evitar o risco significa tomar uma decisão para não se envolver em uma atividade que possa dar origem ao risco ou eliminar a fonte do risco. Mover as instalações para um local onde o risco natural não existe ou está sob controle é uma ação direta para evitar que esse risco afete a organização.
(D) Incorreta: Compartilhar o risco envolve transferir parte ou todo o risco para outra parte, geralmente através de seguros ou contratos, o que não se aplica ao movimento físico das instalações.
(E) Incorreta: Aceitar o risco é o mesmo que reter, ou seja, decidir não tomar nenhuma ação para mitigar o risco, o que contradiz a proposta de mover as instalações.