A equipe de segurança da informação de um instituto federal implantou mecanismos de detecção e de prevenção de intrusão em sua rede corporativa e precisa descrevê-los corretamente na política de segurança da instituição. A respeito desses mecanismos, assinale a alternativa CORRETA.

A ABNT NBR ISO/IEC 27005:2023 — Segurança da informação, segurança cibernética e proteção à privacidade — Orientações para gestão de riscos de segurança da informação estabelece orientações para o processo de gestão de riscos de segurança da informação. A respeito desse processo, considere as afirmativas a seguir.

I. Na abordagem baseada em ativos, a identificação de riscos compreende o reconhecimento dos ativos, das ameaças a que estão sujeitos, das vulnerabilidades que podem ser exploradas e das consequências para a organização.
II. A análise de riscos tem por objetivo compreender a natureza do risco e determinar seu nível, combinando a probabilidade de ocorrência e as consequências potenciais para a organização.
III. A avaliação de riscos consiste em comparar os resultados da análise de riscos com os critérios de risco estabelecidos, entre eles, os critérios de aceitação do risco, a fim de decidir sobre a necessidade e a prioridade do tratamento.
IV. Entre as opções de tratamento de riscos admitidas estão a alteração da probabilidade ou das consequências mediante a implementação de controles, a retenção do risco por decisão informada, a ação de evitar o risco pela não realização ou interrupção da atividade que o origina e o compartilhamento do risco com terceiros.
V. O compartilhamento do risco, mediante contratação de seguro ou terceirização da atividade, transfere ao terceiro a responsabilidade da organização pelo risco, de modo que esta deixa de responder por suas consequências.

Assinale a alternativa que contém todas as afirmativas CORRETAS