Questão 25 — Gestão de Riscos de Segurança da Informação (Segurança da Informação) — Cebraspe · Secretaria de Estado da Fazenda do Paraná (SEFA/PR) 2026

Segurança da Informação Gestão de Riscos de Segurança da Informação

Cebraspe 2026

Secretaria de Estado da Fazenda do Paraná (SEFA/PR) · Agente Fazendário Estadual – Função: Profissional de Tecnologia da Informação (Cargo 6)

Gabarito disponível

Certa empresa de tecnologia que presta serviços em nuvem identificou que a indisponibilidade de um de seus data centers por falha elétrica causaria paralisação de operações críticas por mais de 24 horas, o que comprometeria acordos de nível de serviço e resultaria em perdas financeiras significativas. Durante o processo de gestão de riscos de segurança da informação, conduzido conforme as principais normas internacionais, concluiu-se que o risco residual associado à indisponibilidade ainda é superior ao apetite de risco estabelecido pela organização.

Considerando as práticas recomendadas pelas principais normas internacionais, assinale a opção que apresenta ação adequada a ser adotada pela organização no cenário apresentado na situação hipotética precedente.

Selecione uma alternativa A) transferir o risco por meio de seguro, para reduzir o impacto financeiro e eventuais prejuízos, o que, na prática, é o cerne do problema causado pelo risco efetivo de indisponibilidade durante o tempo projetado B) tratar o risco com medidas adicionais, que podem incluir implementação de novos controles técnicos, administrativos ou físicos destinados a reduzir a probabilidade ou o impacto dos eventos de indisponibilidade C) reavaliar a probabilidade de ocorrência de indisponibilidade, flexibilizar e propor mais elasticidade aos parâmetros que definem o risco residual e o apetite de risco, equalizando-os em configurações compatíveis com o estado atual da empresa D) aceitar o risco residual a partir da confiança no plano de continuidade de negócios estabelecido, o qual absorverá o impacto de eventual indisponibilidade e anulará o nível de risco indicado como acima do apetite definido E) registrar formalmente o risco, sem tomar outras ações complementares, dada a possibilidade de redirecionar os serviços afetados pela indisponibilidade para outros data centers da empresa após as 24 horas críticas

Resolução comentada

Risco residual acima do apetite exige tratamento adicional, com novos controles.

Nas normas de gestão de riscos (ISO/IEC 27005 e ISO 31000), se o risco residual continua acima do apetite, ele deve passar por novo tratamento. Isso significa implementar controles adicionais (técnicos, administrativos ou físicos), como redundância elétrica, geradores, nobreaks e failover, para reduzir a probabilidade ou o impacto. A alternativa B descreve exatamente essa ação.

Análise das alternativas

A) A transferência por seguro cobre só o impacto financeiro e não resolve a indisponibilidade nem o descumprimento dos SLAs. C) Alterar os parâmetros do apetite de risco para encaixar o risco é manipulação de critérios, não tratamento. D) Aceitar o risco sem reduzi-lo contraria a premissa, pois o plano de continuidade não anula um risco acima do apetite. E) Apenas registrar o risco, sem ação, não o trata, e a paralisação de 24 horas já causa o dano.

Referência: ISO/IEC 27005; ISO/IEC 27001; ISO 31000 (tratamento de riscos e risco residual)

Resolução comentada do VaiConcursos.