A avaliação de riscos em segurança da informação tem como objetivo principal identificar e analisar os riscos para que se possa priorizar as ações de segurança de forma eficiente. Analisando as alternativas: A) Eliminar todos os riscos associados ao sistema, garantindo segurança total. — Impossível eliminar todos os riscos; a segurança total não existe. B) Definir políticas de senha para impedir qualquer tipo de invasão ao sistema. — Políticas de senha são importantes, mas não abrangem todo o processo de avaliação de riscos. C) Estimar a probabilidade e o impacto de possíveis incidentes, permitindo priorizar ações de segurança. — Correto. Essa é a essência da avaliação de riscos. D) Aumentar o número de controles de acesso para evitar comportamentos indevidos dos usuários. — Controle de acesso é uma medida, mas não o objetivo principal da avaliação de riscos. E) Substituir auditorias periódicas, já que a avaliação de riscos cobre todas as necessidades de segurança. — Avaliação de riscos complementa, não substitui auditorias. Portanto, a alternativa correta é: C) Estimar a probabilidade e o impacto de possíveis incidentes, permitindo priorizar ações de segurança.