Questões sobre Gestão do Risco

A gestão de riscos compreende atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos. Considere

I. As análises/avaliações de riscos devem ser realizadas periodicamente, para contemplar as mudanças nos requisitos de segurança da informação e na situação de risco, ou seja, nos ativos, ameaças, vulnerabilidades, impactos, avaliação do risco e quando uma mudança significativa ocorrer.

II. O escopo de uma análise/avaliação de riscos pode tanto ser em toda a organização, partes da organização, em um sistema de informação específico, em componentes de um sistema específico ou em serviços onde isto seja praticável, realístico e útil.

III. Antes de considerar o tratamento de um risco, a organização deve definir os critérios para determinar se os riscos podem ser ou não aceitos. Riscos podem ser aceitos se, por exemplo, for avaliado que o risco é baixo ou que o custo do tratamento não é economicamente viável para a organização.

Está correto o que consta em

• A.

  I, II e III.

• B.

  II e III, apenas.

• C.

  I, apenas.

• D.

  I e III, apenas.

• E.

  II, apenas.

Acerca do plano de continuidade do negócio, julgue o item a seguir.

A análise de risco é um dos principais recursos para o estabelecimento de ações para implantação de um plano de continuidade de negócios.

• C. Certo
• E. Errado

Com base nas normas de segurança da informação, julgue o item seguinte.

De acordo com a norma ISO 27001, a gestão de riscos é um processo que inclui prevenção, detecção e resposta a incidentes, atuação, manutenção, análise crítica e auditoria. Todas essas etapas são contempladas nas fases Planejar (Plan), Fazer (Do), Checar (Check) e Agir (Act).

• C. Certo
• E. Errado

No que diz respeito à gerência e administração de projetos, julgue os itens a seguir.

Mediante o processo de monitoramento de riscos de um projeto, podem-se avaliar as modificações nas reservas de contingência de custo ou cronograma feitas de acordo com a avaliação atual dos riscos.

• C. Certo
• E. Errado

Se uma organização aceita conscientemente o risco, sem a preocupação de implementar controles adicionais, ela está praticando, de acordo com a norma ABNT NBR ISO/IEC 27005, a seguinte opção de tratamento do risco:

• A. redução do risco.
• B. retenção do risco.
• C. suspensão do risco.
• D. transferência do risco.
• E. comunicação do risco.

Para estabelecer um sistema de gestão de segurança da informação, deve-se preparar uma declaração de aplicabilidade. Nesse sentido, assinale a opção em que são apresentados os elementos que devem ser incluídos nessa declaração.

• A.

  A descrição dos requisitos de negócio, legais e regulatórios.

• B.

  As descrições das ameaças identificadas.

• C.

  Objetivos de controle e controles que satisfaçam o processo de tratamento de risco.

• D.

  Aprovação dos gestores e da direção da organização para implementação do sistema de gestão de segurança da informação.

• E.

  O escopo e os limites do sistema de gestão de segurança da informação.

Com relação às políticas de segurança da informação e à gerência de riscos, julgue os itens a seguir.

Os riscos devem ser identificados, quantificados e priorizados, com base nos critérios definidos pela área de tecnologia da informação (TI) da organização.

• C. Certo
• E. Errado

Com relação às políticas de segurança da informação e à gerência de riscos, julgue os itens a seguir.

Os riscos devem ser avaliados antes, durante e após implantações e revisões de políticas de segurança da informação.

• C. Certo
• E. Errado

• A.

  Classificação de Riscos − Priorização de Riscos − Encaminhamento de Riscos.

• B.

  Identificação de Riscos − Estimativa de Riscos − Avaliação de Riscos.

• C.

  Reter o Risco − Evitar o Risco − Transferir o Risco.

• D.

  Identificação do Risco − Análise de Vunerabilidade − Definição de Ações de Mitigação do Risco.

• E.

  Classificar o Risco − Priorizar o Risco − Mitigar o Risco.

Com relação aos processos de definição, implantação e gestão de políticas organizacionais, julgue os itens a seguir. Na avaliação de riscos, abordam-se os riscos externos e os internos, avaliando-os por meio de métodos qualitativos e quantitativos, ao passo que, no estabelecimento do contexto do risco, a definição deve se ater apenas ao contexto interno.

• C. Certo
• E. Errado