A Norma ABNT NBR ISO/IEC 27005:2011 fornece diretrizes para...

Alternativa correta: B - definição do contexto e no processo de avaliação de riscos.

A Norma ABNT NBR ISO/IEC 27005:2011 é um guia internacionalmente reconhecido para a gestão de riscos de segurança da informação. O entendimento dessa norma é crucial para efetivamente identificar, avaliar e tratar os riscos associados à segurança da informação em uma organização.

O processo de gestão de riscos descrito na norma engloba diversas atividades, que podem ser vistas como uma sequência lógica que começa pela definição do contexto, ou seja, o ambiente em que a organização opera e que influencia a maneira como os riscos devem ser gerenciados. A definição do contexto é essencial para estabelecer os critérios de avaliação de riscos, incluindo os ativos que necessitam de proteção, as ameaças que podem comprometê-los, as vulnerabilidades que podem ser exploradas e o impacto que eventos de segurança podem ter sobre a organização.

Em seguida, temos o processo de avaliação de riscos, que envolve a identificação dos riscos, a análise para compreender a natureza e o nível do risco e, finalmente, a avaliação para decidir quais riscos precisam ser tratados e de que forma. Este processo pode incluir tanto análises qualitativas quanto quantitativas, dependendo dos recursos disponíveis e das necessidades da organização.

A alternativa B é correta pois reflete com precisão essas duas etapas fundamentais da gestão de riscos conforme a ISO/IEC 27005. As demais alternativas não representam adequadamente o processo descrito na norma. Por exemplo, o "bloqueio total de ocorrências de riscos" (alternativas A e E) não é realista, uma vez que a gestão de riscos envolve o tratamento adequado e a mitigação de riscos, e não a sua eliminação completa, que muitas vezes é inviável. Já as alternativas C e D limitam a análise de riscos a abordagens apenas qualitativas ou quantitativas, respectivamente, quando na realidade a norma considera a utilização de ambas as abordagens.

27005 definição de contexto e no processo de avaliação de riscos

Gabarito: B

ISO 27000

• o que importa, para a aplicação efetiva da ISO é a partir da Seção 6. Vejamos:

6. Visão geral do processo de gestão de riscos de segurança

7. Definição do contexto

8. Processo de avaliação de riscos

9. Tratamento do risco

10. Aceitação do risco

11. Comunicação e consulta do risco

12. Monitoramento e análise crítica de riscos