Logo Passei Direto
Buscar

Antropologia

Outros
Leia o texto a seguir: A ISO/IEC 27005 define o processo de gestão de risco como atividades coordenadas para dirigir e controlar o risco de uma organização (LUND; SOLHAUG; STØLEN, 2010). Neste contexto, o processo de gestão de riscos é definido por oito atividades, como pode ser observado na Figura 1. Para cada atividade da norma são propostas diretrizes para implementação que serão brevemente descritas a seguir (ABNT NBR ISO/IEC 27005, 2008).
A imagem é um diagrama que ilustra o processo de gestão de riscos de segurança da informação conforme a norma ISO/IEC 27005. O diagrama inclui várias etapas como Definição do Contexto, Análise/Avaliação de Riscos, Identificação de Riscos, Estimativa de Riscos, Avaliação de Riscos, Tratamento do Risco, Aceitação do Risco, Monitoramento e Análise Crítica de Riscos, e Comunicação do Risco. As etapas estão interconectadas e incluem pontos de decisão para avaliação e tratamento de riscos.
Na etapa de Identificação de Riscos do processo de Gestão de Riscos de Segurança da Informação, a saída gerada é
uma lista de riscos priorizados conforme critérios de aceitação previamente estabelecidos.
Baseada nos critérios básicos para Gestão de Risco de Segurança da Informação (GRSI), escopo e limites de Gestão de Risco de Segurança da Informação (SGRSI).
uma lista de riscos aceitos e justificativas para aqueles que não satisfizeram os critérios definidos.
a garantia permanente da relevância do processo de gestão de riscos para os objetivos de negócio da organização ou a atualização do processo.
uma lista dos ativos considerados sensíveis para a organização e uma lista dos negócios relacionados a estes ativos.
User badge image
Estudo Através de Questões

ano passado

User badge image
Estudo Através de Questões

ano passado

Teste_ Atividade 2 gestao de risco
8 pág.

Teste_ Atividade 2 gestao de risco

FAM

Respostas

User badge image

Ed Verified user icon

ano passado

Para responder à sua pergunta, vamos analisar as opções apresentadas em relação à etapa de Identificação de Riscos no processo de Gestão de Riscos de Segurança da Informação conforme a norma ISO/IEC 27005. 1. uma lista de riscos priorizados conforme critérios de aceitação previamente estabelecidos. - Esta opção parece correta, pois a identificação de riscos geralmente resulta em uma lista que é priorizada com base em critérios de aceitação. 2. Baseada nos critérios básicos para Gestão de Risco de Segurança da Informação (GRSI), escopo e limites de Gestão de Risco de Segurança da Informação (SGRSI). - Esta opção não descreve uma saída específica, mas sim uma base para a gestão de riscos. 3. uma lista de riscos aceitos e justificativas para aqueles que não satisfizeram os critérios definidos. - Esta opção se refere mais à etapa de aceitação de riscos, não à identificação. 4. a garantia permanente da relevância do processo de gestão de riscos para os objetivos de negócio da organização ou a atualização do processo. - Esta opção fala sobre a relevância do processo, mas não é uma saída da etapa de identificação. 5. uma lista dos ativos considerados sensíveis para a organização e uma lista dos negócios relacionados a estes ativos. - Embora a identificação de ativos sensíveis seja importante, não é o foco principal da etapa de identificação de riscos. Com base na análise, a opção que melhor descreve a saída gerada na etapa de Identificação de Riscos é: uma lista de riscos priorizados conforme critérios de aceitação previamente estabelecidos.

Essa resposta te ajudou?

0
Dislike0

Ainda não achou a resposta?

  • Integrado com os principais modelos de IA do mercado
  • Respostas em segundos
  • IA treinada para estudantes brasileiros.
PasseIA logoEvolua sua forma de estudar

Cadastre-se ou realize login

Ainda com dúvidas?

Envie uma pergunta e tenha sua dúvida de estudo respondida!

Essa pergunta também está no material:

Teste_ Atividade 2 gestao de risco
8 pág.

Teste_ Atividade 2 gestao de risco

FAM

Mais perguntas desse material

Leia o texto a seguir: Disponibilidade, integridade e confidencialidade são os três principais critérios de segurança da informação para uso nas organizações em geral, sendo também utilizados outros como a autenticidade, o não repúdio, a contabilização, a confiança e a conformidade. Além dos critérios ou objetivos citados, a informação também apresenta como critérios de mensuração de consequências a efetividade e a eficiência, entre outros: a) [Confidencialidade] "propriedade de que a informação não esteja disponível ou revelada a indivíduos, entidades ou processos não autorizados" (ABNT, 2006); b) [Integridade] "propriedade de salvaguarda da exatidão e completeza de ativos" (ABNT, 2006); c) [Disponibilidade] "propriedade de que (um sistema de) informação esteja acessível e utilizável sob demanda por uma entidade autorizada" (ABNT, 2006); Considere a seguintes afirmações: I. O impacto sobre o negócio da organização deve ser avaliado considerando as consequências de uma violação da segurança da informação. II. A análise quantitativa é suficiente para identificar os riscos aos quais uma organização está sujeita. III. Ameaças podem ser acidentais ou intencionais e somente as ameaças intencionais devem ser identificadas. É correto o que se afirma em:
T, apenas.
T, TII e III.
I, II e III, apenas.
I, apenas.

Leia o texto a seguir: A Matriz de Responsabilidade pode fundamentar as estratégias organizacionais de proteção, pois representa uma justificativa para os investimentos conforme a influência dos perigos nos resultados da organização. A figura a seguir ilustra o grau de probabilidade de ocorrência de riscos e o impacto desses riscos, na ECT, Empresa Brasileira de Correios e Telégrafos.
A imagem é uma matriz de responsabilidade que ilustra o grau de probabilidade de ocorrência de riscos e o impacto desses riscos na Empresa Brasileira de Correios e Telégrafos (ECT). A matriz é dividida em quadrantes com diferentes níveis de impacto (Catastrófico, Severo, Moderado, Leve, Irrelevante) e probabilidade (0% a 100%). Diferentes tipos de riscos, como Malware, Falha de Software, Erro Humano, Desastres Naturais, Falhas no Ambiente, Furto, entre outros, são plotados na matriz. A legenda indica diferentes níveis de risco (A+, A, A-).
Considerando as informações apresentadas, assinale a opção correta.
Os erros humanos não precisam ser gerenciados, pois impactos menores que moderados e esse tipo de erro não tem como ser evitado.
O maior risco apontado na matriz são os Malwares, que apresentam alta probabilidade de ocorrência e impacto severo e necessita de soluções como firewalls e anti-malwares.
Como no Brasil não ocorrem terremotos nem tsunamis, é possível ignorar o risco de desastre naturais.
Somente os riscos que estão no quadrante I devem ser gerenciados, monitorados e tratados.
O risco de Furto por ter baixa probabilidade não precisa ser monitorado nem precisa de controles.

O texto a seguir foi extraído do Manual de gestão de riscos do INPI: Avaliação de a probabilidade de um risco ocorrer, através da escala: - Muito baixa (1) - baixíssima possibilidade de o evento ocorrer, embora ainda não tenha ocorrido. - Baixa (2) - o evento ocorre raramente. - Média (3) - o evento já ocorreu algumas vezes e pode voltar a ocorrer. - Alta (4) - o evento já ocorreu repetidas vezes e provavelmente voltará a ocorrer muitas vezes. Avaliação de impacto na organização, dada a ocorrência do risco, através da escala: - Muito baixo (1) - consequências insignificantes caso o evento ocorra. - Baixo (2) - consequências menores em atividades ou processos que não sejam considerados prioritários. - Médio (3) - consequências relevantes em atividades e processos que não sejam considerados prioritários, ou consequências menores em atividades e processos prioritários. - Alto (4) - consequências relevantes em atividades e processos prioritários.
| NÍVEL DE RISCO | 1 | 2 | 3 | 4 |
| --- | --- | --- | --- | --- |
| PROBABILIDADE | Muito baixa | Baixa | Média | Alta |
| IMPACTO | Muito baixo | Baixo | Médio | Alto |
| | MUITO BAIXO | BAIXO | MÉDIO | ALTO |
Para essa empresa, o limite entre riscos aceitáveis ou não, pode ser visualizado graficamente entre as áreas em laranja e vermelho. Considere as informações apresentadas, analise as afirmações a seguir: I. A escala de criticidade resulta em uma ordem de priorização. Isso quer dizer que quanto mais crítico estiver algum risco, maior será sua pontuação na ordem de priorização, e, portanto, maior prioridade deve ser dada para tratar e gerenciar determinado risco. II. Avaliando-se as combinações de probabilidade e impacto, é gerada uma classificação do nível de risco para cada evento identificado. III. Para todos os critérios de identificação de riscos, os dados quantitativos baseados em histórico com critérios bem estabelecidos é o único critério obrigatório para realizar essas identificações. É correto o que se afirma em:
I, apenas.
II e III, apenas.
Té II, apenas.

Leia o texto a seguir: Uma das principais necessidades que temos como organização e até como seres humanos, independentemente do setor no qual nossos negócios são desenvolvidos (saúde, educação, finanças, governo etc.), é a segurança da informação, que é parte ativa e fundamental do ecossistema tecnológico atual. A segurança da informação vem sendo trabalhada há vários anos em empresas, tenham elas mais ou menos maturidade. E ao longo do tempo, novas práticas, regulamentações e até novos conceitos como a própria segurança cibernética vão sendo introduzidos. Construir uma estratégia abrangente, peça por peça A segurança cibernética inclui uma série de estratégias, metodologias e tecnologias que trabalham juntas para nos proteger contra ameaças digitais atuais e futuras. No entanto, quando realizamos auditorias de segurança, tanto internas como externas à TI nas organizações, descobrimos que a maioria delas não possui uma estratégia real em termos de implementação de projetos de segurança cibernética e, de fato, persiste um forte desconhecimento da gestão de riscos, que é a peça chave no desenvolvimento de qualquer arquitetura tecnológica, independentemente de onde ela reside (data center, nuvem, terceiros etc.). Com base na reportagem e no processo de gestão de riscos de segurança da informação, considere as seguintes afirmações: I. Pode-se definir um risco de segurança como um evento que tenha probabilidade de ocorrência não nula e que incorra em danos a uma organização. II. Como existe uma quantidade infinita de eventos negativos que podem ocorrer, devem ser adotados controles de segurança para neutralizar cada um destes eventos. III. Uma vez feito o processo de identificação de riscos, a empresa não precisa mais o refazer. É correto o que se afirma em:
III, apenas.
II e III apenas.
II, apenas.
II, apenas.
Te III, apenas.

Mais conteúdos dessa disciplina