Gabarito disponível
Acerca de procedimentos de segurança e da gestão da segurança da informação, julgue os próximos itens.
No âmbito da gestão da segurança da informação, a priorização de controles com base em riscos prescinde da definição prévia de objetivos estratégicos de segurança, uma vez que a análise de riscos orienta diretamente a tomada de decisão gerencial.
No âmbito da gestão da segurança da informação, a priorização de controles com base em riscos prescinde da definição prévia de objetivos estratégicos de segurança, uma vez que a análise de riscos orienta diretamente a tomada de decisão gerencial.
Resolução comentada
A priorização de controles depende de objetivos estratégicos e de critérios definidos previamente.
A gestão de riscos precisa de contexto, objetivos de negócio e de segurança, e critérios de risco (apetite e aceitação). Sem eles, a análise de riscos não tem parâmetro para priorizar controles. Afirmar que a priorização dispensa objetivos estratégicos está errado.
Análise das alternativas
A) Errada: nega a necessidade de objetivos estratégicos. B) Correta.
Referência: ISO/IEC 27001 (contexto e liderança); ISO/IEC 27005.
Resolução comentada do VaiConcursos.