A segurança da informação é reconhecida como área fundamental em diversos frameworks de gestão de tecnologias da informação, tais como ITIL (information technology infrastructure library) e CObIT (control objectives for information technology). Acerca dos princípios de gestão da segurança da informação, julgue os próximos itens.
A análise de vulnerabilidades é fundamental para um processo de análise de risco, pois permite identificar os elementos dos sistemas de informação e os ativos de informação que estão potencialmente ameaçados. Entretanto, nem toda vulnerabilidade encontrada estará diretamente relacionada com riscos identificados, haja vista que os riscos se configuram a partir da intenção potencial de se explorar uma vulnerabilidade.

Uma ferramenta largamente empregada na Internet para
análise de vulnerabilidades em sistemas operacionais é o
NESSUS, que permite realizar diagnóstico de vários tipos de
dispositivos instalados em redes que utilizam o protocolo
TCP/IP.

É impossível encontrar vulnerabilidade em um sistema
operacional que esteja protegido por um firewall, mesmo
quando configurado para permitir que determinadas portas
sejam utilizadas para a execução de serviços com a Internet.

Uma fonte primária para a definição dos requisitos de segurança consiste na avaliação de riscos dos ativos de informação. Essa análise permite ainda equilibrar os gastos com os controles de segurança de acordo com os danos causados aos negócios gerados pelas potenciais falhas na segurança.