Ao realizar uma análise de riscos, um analista identificou que a
vulnerabilidade de Cross-Site Scripting em um portal de serviços
tem uma probabilidade de ocorrência classificada como média e
um impacto potencial classificado como Alto. A organização utiliza
uma matriz de riscos 5X5 (Muito Baixa, Baixa, Média, Alta, Muito
Alta). Para tratar este risco, foi implementado um WAF, que reduz
a probabilidade de exploração de Média para Baixa.

Considerando a abordagem da ISO/IEC 27005, o termo técnico
para o risco após a implementação do WAF e antes da decisão final
de aceitação ou tratamento adicional é

Question

Ao realizar uma análise de riscos, um analista identificou que a
vulnerabilidade de Cross-Site Scripting em um portal de serviços
tem uma probabilidade de ocorrência classificada como média e
um impacto potencial classificado como Alto. A organização utiliza
uma matriz de riscos 5X5 (Muito Baixa, Baixa, Média, Alta, Muito
Alta). Para tratar este risco, foi implementado um WAF, que reduz
a probabilidade de exploração de Média para Baixa.

Considerando a abordagem da ISO/IEC 27005, o termo técnico
para o risco após a implementação do WAF e antes da decisão final
de aceitação ou tratamento adicional é  Alternativa A:  Risco Inerente Ou Alternativa B: Risco Bruto Ou Alternativa C: Risco Aceitável  Ou Alternativa D: Risco Residual Ou Alternativa E: Risco Mitigado

Qconcursos · Accepted Answer

Alternativa [D] Risco Residual Gabarito: DFundamento decisivo: A definição decisiva é a de residual risk: risco que permanece após o tratamento. Como o enunciado situa o caso depois da implementação do WAF, o termo técnico aplicável é risco residual.Tema central: Risco residual na ISOAnálise das alternativasAErradaIncorreta. Risco inerente é o risco antes da aplicação de controles ou tratamentos. O enunciado já informa a implementação do WAF, então não se está mais na condição inicial do risco.BErradaIncorreta. Ainda que 'risco bruto' possa aparecer em uso doutrinário ou de mercado como referência ao risco antes de controles, não é o termo técnico pedido na abordagem ISO/IEC 27005 para o risco remanescente após tratamento. Para esse momento, a terminologia correta é risco residual.CErradaIncorreta. Risco aceitável depende de decisão de aceitação com base nos critérios da organização. O enunciado afirma expressamente que o momento considerado é anterior à decisão final de aceitação ou de tratamento adicional, portanto não cabe chamá-lo de risco aceitável.DCertaA alternativa D está correta porque o enunciado descreve um risco após a aplicação de uma medida de tratamento, o WAF, que reduziu a probabilidade de exploração de média para baixa. Na terminologia da ISO/IEC 27005, o risco que permanece após o tratamento recebe o nome de risco residual.EErradaIncorreta. 'Risco mitigado' pode descrever de forma informal que houve redução do risco, mas a questão pede o termo técnico da ISO/IEC 27005. O nome técnico do risco que permanece depois do tratamento é risco residual.Pegadinha da questãoA confusão explorada foi entre risco reduzido e risco aceitável, somada à tendência de marcar um termo informal como 'mitigado' em vez da terminologia técnica da ISO para o risco remanescente após o controle.Dica para questões semelhantesSe o enunciado descreve o risco após a implementação de um controle, identifique-o primeiro como risco residual.Não chame o risco de aceitável sem informação de decisão de aceitação com base em critérios definidos pela organização.Diferencie o momento antes dos controles, que remete a risco inerente ou bruto, do momento depois do tratamento, que remete a risco residual.

🚀 Mais performance?

🚀 Mais performance?

Ao realizar uma análise de riscos, um analista identificou q...

Gabarito comentado

Gabarito: D

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas