Baseando-se na ISO 27005, em relação ao processo de gestão de risco de segurança da informação, analisar a sentença abaixo:

Durante o processo de gestão de riscos de segurança da informação, é importante que os riscos e a forma com que são tratados sejam comunicados ao pessoal das áreas operacionais e gestores apropriados. Mesmo antes do tratamento do risco, informações sobre riscos identificados podem ser muito úteis para o gerenciamento de incidentes e ajudar a reduzir possíveis prejuízos (1ª parte). A conscientização dos gestores e pessoal no que diz respeito aos riscos, à natureza dos controles aplicados para mitigá-los e às áreas definidas como de interesse pela organização auxilia a lidar com os incidentes e eventos não previstos da maneira mais efetiva. Convém que os resultados detalhados de cada atividade do processo de gestão de riscos de segurança da informação, assim como as decisões sobre a análise/avaliação de riscos e sobre o tratamento do risco, sejam documentados (2ª parte). Em um processo de gestão de risco de segurança da informação, primeiramente, deve-se estabelecer o contexto. Em seguida, executa-se uma análise/avaliação de riscos. Se ela fornecer informações suficientes para que se determinem de forma eficaz as ações necessárias para reduzir os riscos a um nível aceitável, então a tarefa está completa e o tratamento de risco pode suceder-se. Por outro lado, se as informações forem insuficientes, executa-se uma outra iteração da análise/avaliação de risco, revisando-se o contexto (por exemplo, os critérios de avaliação de risco, de aceitação do risco ou de impacto), possivelmente em partes limitadas do escopo (3ª parte).

A sentença está:

Segundo as definições da ISO 27005, a análise/avaliação de riscos de segurança da informação, entre outros:

I - Determina o valor dos ativos de informação.

II - Identifica as ameaças e vulnerabilidades aplicáveis existentes (ou que poderiam existir).

III - Identifica os controles existentes e seus efeitos no risco identificado.

IV - Determina as consequências passíveis, prioriza os riscos derivados e ordena-os de acordo com os critérios de avaliação de riscos estabelecidos na definição do contexto.

Estão CORRETOS:

Considere, hipoteticamente, que a PGE-MT está diante de um risco de segurança da informação e o Analista de Sistemas terá que decidir que ação tomar. Resolve se guiar pela seção da norma ABNT NBR ISO/IEC 27005:2011 que discorre sobre o tratamento do risco de segurança da informação. Esta seção indica como ações para o tratamento do risco:

No processo de tratamento do risco de segurança da informação, segundo a norma ABNT NBR ISO/IEC 27005:2011,

Considere que o Tribunal Regional do Trabalho esteja seguindo orientações da norma ABNT NBR ISO/IEC 27005:2011, que fornece diretrizes para o processo de gestão de riscos de segurança da informação. Seguindo esta norma, a implantação do processo de gestão de riscos deve passar pelas etapas: definição do contexto, processo de avaliação de riscos, tratamento do risco,

A NBR ISO/IEC 27005:2011 NÃO considera como opção para o tratamento do risco de segurança da informação:

De acordo com a ABNT NBR ISO/IEC 27002 de 2005 é essencial que uma organização identifique os seus requisitos de segurança da informação. Com relação a este assunto são realizadas as seguintes afirmações: 

I. Uma fonte de requisitos de segurança da informação é a legislação vigente, os estatutos, a regulamentação e a cláusulas contratuais que a organização, seus parceiros comerciais, contratados e provedores de serviço têm que atender, além do seu ambiente sociocultural.

II. Uma vez que os requisitos de segurança da informação, os riscos tenham sido identificados e as decisões para o tratamento dos riscos tenham sido tomadas, convém que controles apropriados sejam selecionados e implementados para assegurar que os riscos sejam eliminados. Não é aceitável a simples redução a níveis aceitáveis.

III. A análise/avaliação de riscos deve ser realizada na implantação do SGI e, posteriormente, semestralmente, independente de quaisquer mudanças que possam influenciar os resultados desta análise/avaliação.

IV. Uma possível opção para o tratamento do risco inclui transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores.

Em relação a estas afirmações, assinale a alternativa correta: 

Quanto ao tratamento de riscos, conforme a norma NBR ISO/IEC 27005, assinale a opção correta.

De acordo com a norma NBR ISO/IEC 27005, a etapa em que se identifica qualquer mecanismo administrativo, físico ou operacional capaz de tratar os riscos da ocorrência de um incidente de segurança é a identificação

       A equipe de analistas de segurança da informação de um órgão do judiciário federal participou de uma atividade de capacitação conduzida por uma empresa de consultoria em controle de acessos, tendo sido submetida a uma avaliação preliminar de seus conhecimentos sobre esse tema. A avaliação baseou-se em debate mediado pelos membros da consultoria, durante o qual os membros da equipe de segurança discutiram com os usuários de TI um conjunto de afirmações acerca da melhor forma de aprimorar o controle de acessos no órgão. Várias ponderações conduzidas pelos consultores eram deliberadamente errôneas, e algumas, verdadeiras. A equipe de analistas de segurança e os usuários de TI deveriam identificar as ponderações erradas e as verdadeiras.

Considerando que as opções a seguir apresentam ponderações dos consultores, assinale a opção que apresenta ponderação correta, com base nos conceitos do controle de acessos e nas normas da ISO/IEC 27001, 27002 e 27005.

Considere que a equipe composta por quatro analistas de sistemas de um órgão do judiciário federal brasileiro deva desenvolver um plano de implantação da gerência de riscos de segurança da informação nesse órgão. Acerca das atividades que podem ser realizadas pela equipe, e considerando os conceitos de gerência de riscos, de classificação e controle dos ativos de informação, e a norma ISO/IEC 27005, é correto afirmar que essa equipe

Assinale a alternativa que apresenta CORRETAMENTE a norma constituída por indicações para implementação, monitoramento e melhoria contínua do sistema de controles:

A norma NBR ISO/IEC 27005 apresenta 4 opções para o tratamento de riscos relacionados à segurança da informação. Uma dessas opções é