Questão de Tecnologia da Informação · FGV TRF1 2024 (nº 56)

O processo de tratamento de riscos na ISO 27001 é a etapa onde a organização decide o que fazer com os riscos de segurança da informação identificados e como colocar essas decisões em prática.

(A) Incorreta: O processo de tratamento de riscos é específico para segurança da informação e não tem como objetivo principal a elaboração de um plano diretor de TI, que é um documento estratégico mais amplo.
(B) Incorreta: A aprovação da alta gestão é uma etapa crucial e um resultado do processo de tratamento de riscos (especialmente do plano de tratamento de riscos e dos riscos residuais), mas não é o propósito fundamental do processo em si. A armadilha aqui é que a aprovação é importantíssima, mas o processo visa determinar e implementar as ações.
(C) Incorreta: A Declaração de Aplicabilidade (SoA) é um resultado do processo de tratamento de riscos, onde se documentam os controles selecionados e justificados, e não o propósito do processo. Além disso, não se limita a "controles avançados".
(D) Correta: O processo de tratamento de riscos visa, após a seleção das opções de tratamento (como mitigar, aceitar, evitar ou transferir), identificar quais controles (do Anexo A ou outros) são necessários para efetivamente implementar essas opções e reduzir os riscos a um nível aceitável.
(E) Incorreta: Selecionar as opções de tratamento é uma parte do processo de tratamento de riscos. No entanto, o propósito final do processo vai além da seleção, abrangendo a determinação e implementação dos controles para efetivar essas opções, conforme descrito na alternativa D.