A alternativa correta para a questão é a Alternativa A - I e III.

Vamos agora entender melhor o contexto e os conceitos envolvidos na norma ABNT NBR ISO/IEC 27005:2023, que é central para a gestão de riscos de segurança da informação. Esta norma oferece diretrizes para o gerenciamento de riscos no contexto do Sistema de Gestão de Segurança da Informação (SGSI), fornecendo um procedimento sistemático para identificar, avaliar e tratar riscos.

Vamos analisar cada item listado na questão:

I. Formular e selecionar opções de tratamento de riscos: Esta atividade é crucial para o processo de tratamento de riscos, pois envolve a identificação de medidas para mitigar ou transferir os riscos identificados. É uma parte central do tratamento de riscos, conforme indicado na norma.

II. Avaliar se os riscos estão de acordo com o contexto do SGSI: Esta atividade está mais relacionada à avaliação e ao contexto, mas não é especificamente parte do tratamento de riscos. O tratamento de riscos se concentra em como lidar com os riscos, uma vez identificados e avaliados.

III. Decidir sobre a aceitabilidade do risco residual: Essa atividade está diretamente ligada à etapa de tratamento de riscos, onde se decide se o risco que permanece após a aplicação das medidas de controle é aceitável ou não.

IV. Identificar os riscos da organização: Esta atividade pertence à fase de identificação de riscos, que é uma etapa anterior ao tratamento propriamente dito.

V. Avaliar os riscos identificados: Esta é uma fase de avaliação de riscos, onde se determina o impacto e a probabilidade dos riscos identificados. É anterior ao tratamento dos riscos.

Com base nesta análise detalhada:

• Alternativa A é correta porque as atividades I e III são partes explícitas do tratamento de riscos.
• Alternativas B, C, D, e E são incorretas porque incluem atividades que pertencem às fases de identificação de riscos ou de avaliação de riscos, mas não ao tratamento de riscos.

Espero que esta explicação tenha clarificado o motivo pelo qual a alternativa A é a correta, alinhando-se com os princípios estabelecidos pela norma para o tratamento de riscos.

Gostou do comentário? Deixe sua avaliação aqui embaixo!

É aquela imagem clássica da ISO:

https://cdn.goconqr.com/uploads/node/image/12745859/desktop_trea.PNG

Perceba que no "quadrado" do tratamento de riscos existem as opções de tratamento de riscos e os riscos residuais, por isso o gabarito é

I. formular e selecionar opções de tratamento de riscos e

III. decidir sobre a aceitabilidade do risco residual.

Ainda estou com o mapa dessa ISO na cabeça. BORA!

Com a FGV tem sempre duas corretas. Sendo uma mais correta que as outras pois a D também não deixa de estar certa.

Resumo sobre o assunto...fiz com IA sempre vale a pena checar 2x.

Para memorizar a ABNT NBR ISO/IEC 27005:2023, você pode relacionar as etapas do gerenciamento de riscos nesta sequência:

Etapas do risco

Estabelecimento do contexto

Define o contexto, escopo, critérios de risco e critérios de aceitação.

Identificação dos riscos

Identifica ativos, ameaças, vulnerabilidades, consequências e fontes de risco.

Pergunta-chave: “O que pode dar errado?”

Análise dos riscos

Determina a probabilidade e as consequências/impactos.

Pergunta-chave: “Qual é a chance e o impacto?”

Avaliação dos riscos

Compara os resultados da análise com os critérios de risco.

Decide quais riscos precisam de tratamento.

Pergunta-chave: “Esse risco é aceitável?”

Tratamento dos riscos

Formula e seleciona opções de tratamento;

Elabora o plano de tratamento;

Implementa controles/medidas;

Avalia o risco residual;

Decide se o risco residual é aceitável.

Comunicação e consulta

Ocorrem ao longo de todo o processo, envolvendo as partes interessadas.

Monitoramento e análise crítica

Também são contínuos, verificando mudanças nos riscos, controles e contexto.