Como alternativa para a auditoria de TI, um modelo de avali...

Vamos analisar a questão e entender a alternativa correta. A alternativa correta é a E - o grau de vulnerabilidade, a severidade do impacto e a seleção de contramedidas. Abaixo, explicarei o porquê dessa escolha e porque as outras alternativas estão incorretas.

O tema da questão é a avaliação de risco de um ativo em auditoria de TI. Esse tema é fundamental para a segurança da informação, pois envolve identificar potenciais ameaças, avaliar o impacto que essas ameaças poderiam ter sobre os ativos organizacionais e planejar ações para mitigar esses riscos.

Para resolver a questão, são necessários conhecimentos sobre os conceitos básicos de probabilidade da ameaça, grau de vulnerabilidade, severidade do impacto, e seleção de contramedidas. Vamos desmembrar esses conceitos:

• Probabilidade da ameaça: Refere-se à chance de uma ameaça se concretizar.
• Grau de vulnerabilidade: Indica a suscetibilidade do ativo em questão à ameaça.
• Severidade do impacto: Refere-se ao nível de dano que a ameaça pode causar ao ativo se concretizada.
• Seleção de contramedidas: Envolve escolher ações específicas para mitigar ou eliminar o risco.

Para uma abordagem eficaz de avaliação de risco, é necessário combinar a probabilidade da ameaça com outros fatores. Vamos analisar as alternativas:

A - a severidade do impacto e a seleção de contramedidas, apenas.

Incorreta. Não considera o grau de vulnerabilidade, que é essencial para entender a suscetibilidade do ativo à ameaça.

B - o grau de vulnerabilidade e a severidade do impacto, apenas.

Incorreta. Não menciona a seleção de contramedidas, que é crucial para mitigar ou eliminar o risco.

C - e a seleção de contramedidas, apenas.

Incorreta. Omite tanto o grau de vulnerabilidade quanto a severidade do impacto, ambos fundamentais para uma avaliação de risco completa.

D - o grau de vulnerabilidade e a seleção de contramedidas, apenas.

Incorreta. Não inclui a severidade do impacto, que é necessário para compreender o nível de dano potencial.

E - o grau de vulnerabilidade, a severidade do impacto e a seleção de contramedidas

Correta. Esta alternativa abrange todos os elementos fundamentais para uma avaliação de risco completa: grau de vulnerabilidade, severidade do impacto e seleção de contramedidas.

Portanto, a alternativa E é a mais completa e correta, pois engloba todos os componentes necessários para uma avaliação adequada do risco de um ativo na auditoria de TI.

Lembrar sempre das fases de identificação de riscos do Iso 27005 (2ACVC):

- A: identificar ativos 

- A: identificar ameaças 

- C: identificar controles ou contra medidas

- V: identificar vulnerabilidades

- C: identificar consequencias ou impactos