Alternativa correta: C (certo)

A questão está correta ao afirmar que os objetivos estratégicos, os processos de negócio e a política de segurança da informação são alguns dos aspectos considerados na definição do escopo e dos limites da gestão de risco de segurança da informação.

A gestão de riscos de segurança da informação é um processo fundamental para qualquer organização que busca proteger seus ativos de informação contra ameaças e vulnerabilidades. Esse processo inclui a análise e avaliação dos riscos, a implementação de medidas de controle e a monitoração contínua para garantir a eficácia dessas medidas.

Objetivos estratégicos: Os objetivos estratégicos de uma organização definem suas metas a longo prazo e as direções que ela pretende seguir para alcançar essas metas. Na gestão de riscos, é crucial alinhar as medidas de segurança com esses objetivos para garantir que os esforços de proteção estejam em consonância com a visão e as metas da organização.

Processos de negócio: Os processos de negócio são as atividades e operações que uma organização realiza para alcançar seus objetivos. Na gestão de riscos, é essencial identificar e proteger os processos críticos que, se comprometidos, podem causar prejuízos significativos à organização.

Política de segurança da informação: A política de segurança da informação é um conjunto de diretrizes e práticas que orientam como a organização deve proteger suas informações. Essa política estabelece os padrões e procedimentos que devem ser seguidos para garantir a segurança dos dados e, portanto, é uma referência crucial na gestão de riscos.

Portanto, ao considerar os objetivos estratégicos, os processos de negócio e a política de segurança da informação na definição do escopo e dos limites da gestão de risco, a organização garante uma abordagem sistemática e alinhada às suas necessidades específicas, o que justifica a alternativa correta ser a letra C.

CERTO

Segundo a ISO 27005,"

7.3 Escopo e limites

Convém que a organização defina o escopo e os limites da gestão de riscos de segurança da informação. [...]

Ao definir o escopo e os limites, convém que a organização considere as seguintes informações:

  -Os objetivos estratégicos, políticas e estratégias da organização

  -Processos de negócio

  -As funções e estrutura da organização

  -Requisitos legais, regulatórios e contratuais aplicáveis à organização

 -A política de segurança da informação da organização

  -A abordagem da organização à gestão de riscos

  -Ativos de informação

  -Localidades em que a organização se encontra e suas características geográficas

  -Restrições que afetam a organização

  -Expectativas das partes interessadas

  -Ambiente sociocultural

  -Interfaces (ou seja: a troca de informação com o ambiente)

Certo.

De acordo com a NBR ISO/IEC 27005:2019, que trata da gestão de riscos em segurança da informação, a definição do escopo e dos limites do processo de gestão de riscos deve considerar:

• Objetivos estratégicos da organização
• Processos de negócio relevantes
• Ativos de informação
• Política de segurança da informação
• Estrutura organizacional
• Interfaces e dependências internas e externas

Esses elementos ajudam a garantir que o processo de gestão de riscos esteja alinhado com as prioridades organizacionais, sendo eficaz na proteção das informações críticas.

By Futuro DEV Estável.