Acerca de gestão de risco segundo o NIST SP 800-30, julgue o...

Alternativa Correta: E - Errado

Vamos entender melhor a questão abordada. A pergunta se refere à gestão de risco segundo o NIST SP 800-30, um documento de referência amplamente utilizado para a avaliação e gestão de riscos em sistemas de informação.

De acordo com o NIST SP 800-30, os controles de segurança são classificados em três categorias principais: preventivos, detectivos e corretivos. Vamos entender cada um deles:

1. Controles Preventivos: Esses controles são projetados para evitar que uma violação ou incidente de segurança ocorra. Exemplos incluem firewalls, criptografia, políticas de segurança, e controles de acesso. Eles agem, por assim dizer, "antes" do problema acontecer.

2. Controles Detectivos: Estes são destinados a detectar e alertar sobre a ocorrência de uma violação ou incidente. Exemplos incluem sistemas de detecção de intrusão (IDS), monitoramento de logs e auditorias de segurança. Eles agem "durante" o incidente, informando que algo está ocorrendo.

3. Controles Corretivos: Os controles corretivos são usados para responder e recuperar de uma violação ou incidente de segurança. Exemplos incluem planos de resposta a incidentes, backups e processos de recuperação de desastres. Eles entram em ação "após" o incidente.

No enunciado da questão, está dito que "Controles preventivos alertam sobre a ocorrência de violações". Com base nas definições acima, podemos ver que essa afirmação está incorreta. Os controles preventivos não são projetados para alertar sobre violações, mas sim para evitá-las. Quem desempenha a função de alertar sobre a ocorrência são os controles detectivos.

Portanto, a alternativa correta é E - Errado, pois a definição apresentada no item está equivocada.

Gostou do comentário? Deixe sua avaliação aqui embaixo!