Acerca dos conceitos relacionados a segurança da informação ...

Alternativa correta: A

A questão aborda o gerenciamento de riscos no contexto do COBIT, que é um framework de governança e gestão de TI. O gerenciamento de riscos é um aspecto fundamental da governança de TI, envolvendo a identificação, controle e mitigação dos riscos que possam impactar os sistemas de informação. Este processo busca sempre balançar os riscos com os custos associados à sua mitigação, procurando uma solução economicamente viável.

Ao considerarmos o framework COBIT, o gerenciamento de riscos está principalmente associado ao domínio Planejamento e Organização (PO), que se preocupa com a estratégia e táticas relacionadas à gestão e uso eficiente da TI, incluindo riscos que impactam a organização. Dentro desse domínio, processos específicos são dedicados ao gerenciamento de riscos, como PO9 - Avaliação e Gerenciamento de Riscos de TI. Por outro lado, o domínio Monitoração e Avaliação (ME) está mais focado na avaliação do desempenho e conformidade dos processos de TI, embora também possa incluir elementos de acompanhamento de riscos.

Portanto, a alternativa A está correta ao afirmar que o gerenciamento de risco está mais relacionado ao domínio de Planejamento e Organização do que ao de Monitoração e Avaliação no COBIT. Este entendimento é crucial para a governança de TI eficaz e para garantir que os riscos sejam tratados de maneira proativa dentro da estratégia da organização.

 Questão cabe recurso, pois em momento algum nem no cobit nem nas normas da família 27000 é aceito o termo "eliminação de risco", dessa forma não cabe a afirmação sobre o gerenciamento de risco.

Para cada um dos riscos identificados, seguindo a análise/avaliação de riscos, uma decisão sobre o tratamento do risco precisa ser tomada. Possíveis opções para o tratamento do risco, incluem:

a) aplicar controles apropriados para reduzir os riscos;

b) conhecer e objetivamente aceitar os riscos, sabendo que eles atendem claramente à política da organização e aos critérios para a aceitação de risco;

c) evitar riscos, não permitindo ações que poderiam causar a ocorrência de riscos; (ou seja, eliminando o risco)

d) transferir os riscos associados para outras partes, por exemplo, seguradoras ou fornecedores.

Fonte: ABNT NBR ISO/IEC 27002.

No COBIT 5 existe o Garantir otimização dos riscos --> área de governança --> domínio: avaliar, dirigir, monitorar

e o Gerenciar Riscos --> área de gestão --> domínio: ALINHAR, PLANEJAR, ORGANIZAR