Questão 79 — NBR ISO/IEC 27001 — Gestão de Riscos (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação NBR ISO/IEC 27001 — Gestão de Riscos

Cebraspe 2026

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Analista Ambiental – Especialidade: Análise de Redes

Gabarito disponível

De acordo com a ABNT NBR ISO/IEC 27001:2022, ao planejar o sistema de gestão da segurança da informação (SGSI) a organização deve

Selecione uma alternativa A) fazer apenas o levantamento de riscos, sem avaliações ou tratamento, pois, no caso de um SGSI, a gestão de riscos é executada assim que o sistema é aprovado pela alta direção. B) manter critérios para avaliação de riscos, mas não de tratamento nem de aceitação de riscos. C) estabelecer critérios de aceitação de riscos para as avaliações de riscos, assim como estabelecer e aplicar processo de tratamento de riscos. D) manter critérios para tratamento de riscos, mas não sobre avaliação de riscos. E) utilizar norma complementar, pois a norma 27001:2022 não sugere ações afetas a riscos na fase de planejamento.

Resolução comentada

No planejamento do SGSI, a organização define critérios de aceitação de riscos e estabelece e aplica processo de tratamento de riscos.

O item 6.1.2 da ISO 27001 exige que a organização defina e aplique processo de avaliação de riscos, com critérios de aceitação de riscos e critérios para realizar as avaliações. O item 6.1.3 exige definir e aplicar processo de tratamento de riscos. Assim, a opção C descreve corretamente o planejamento.

Análise das alternativas

A) Errada: a norma exige avaliação e tratamento já no planejamento. B) Errada: há critérios de aceitação de riscos e de avaliação, e também tratamento. D) Errada: os critérios de avaliação são exigidos. E) Errada: a própria norma trata de riscos no planejamento (6.1).

Referência: ABNT NBR ISO/IEC 27001:2022, itens 6.1.2 e 6.1.3.

Resolução comentada do VaiConcursos.