Vamos analisar cada uma das afirmações sobre gestão de riscos: ( ) Medidas preventivas são controles que reduzem a probabilidade de uma ameaça se concretizar ou minimizam o grau de vulnerabilidade de determinado ativo. É verdadeira (V). Medidas preventivas têm exatamente essa função, que é reduzir a probabilidade de ocorrência de ameaças e minimizar vulnerabilidades. Uma vez estabelecida uma política de gestão de riscos, esta somente será revista em caso de mudança de algum recurso computacional de hardware ou software. É falsa (F). A política de gestão de riscos deve ser revista periodicamente e não apenas em caso de mudanças em hardware ou software, pois novos riscos podem surgir a qualquer momento. A aplicação ou não de uma medida para diminuir a probabilidade de ocorrência de um evento ou para tratá-lo após sua ocorrência deve considerar como um dos principais critérios a relação. É verdadeira (V). A relação custo-benefício é um critério importante na decisão de aplicar medidas de segurança. Por via de regra, não se gasta um valor superior ao do ativo com medidas de segurança para ele. É verdadeira (V). É uma prática comum que os gastos com segurança não ultrapassem o valor do ativo protegido, a menos que haja uma justificativa muito forte. A elaboração de uma matriz de riscos, considerando duas dimensões distintas: gravidade do impacto e probabilidade de ocorrência do incidente, representa um método qualitativo de avaliação de riscos. É verdadeira (V). A matriz de riscos é uma ferramenta qualitativa que ajuda a visualizar e priorizar riscos com base em suas características. Portanto, a sequência correta é: V - F - V - V - V. A alternativa que apresenta a sequência correta é a C: V - F - V - V.