Questões de Concurso

Os requisitos de segurança da informação são identificados por meio de uma análise/avaliação sistemática dos riscos estimados. Os gastos com os controles precisam ser balanceados de acordo com os danos causados aos negócios gerados pelas potenciais falhas na segurança da informação. É INCORRETO dizer que convém que a análise/avaliação de riscos

(a)

tenha um escopo claramente definido para ser eficaz e inclua os relacionamentos com as análises/avaliações de riscos em outras áreas, se necessário.

(b)

seja realizada periodicamente, para contemplar as mudanças nos requisitos de segurança da informação e na situação de risco, ou seja, nos ativos, ameaças, vulnerabilidades, impactos, avaliação do risco e quando uma mudança significativa ocorrer.

(c)

inclua um enfoque sistemático de estimar a magnitude do risco (análise de riscos) e o processo de comparar os riscos estimados contra os critérios de risco para determinar a significância do risco (avaliação do risco).

(d)

defina os critérios para determinar se os riscos podem ser ou não aceitos. Riscos não podem ser aceitos se, por exemplo, for avaliado que o risco é baixo ou que o custo do tratamento não é economicamente viável para a organização.

(e)

deve ser realizada de forma metódica, capaz de gerar resultados comparáveis e reproduzíveis.