Questões

obrigatoriamente dura 1 ano.

obrigatoriamente dura mais que 3 anos.

pode durar indefinidamente.

não pode durar menos que 10 anos.

não pode durar menos que 5 anos.

As análises de cenários de risco (ACR) são substituídas por Projeções de Gestão de Risco (PGR), permitindo que as organizações considerem possíveis eventos futuros e suas consequências. 

A norma foi alinhada à ISO 35000, que se refere a norma internacional para gerenciamento de riscos.

A norma incentiva a realização das avaliações periódicas e emergenciais, respectivamente, para prevenção de incidentes de média gravidade e para atuação em eventos pontuais e individualizados de elevada gravidade.  

Houve incentivo à implementação de controles e à avaliação do desempenho, promovendo integração com a gestão de segurança da informação

A norma manteve o foco no contexto organizacional, no entanto, ainda não incluiu para a identificação e avaliação dos riscos a análise dos objetivos de segurança da informação e as necessidades das partes interessadas. 

ERRADO

CERTO

análise crítica de riscos e no bloqueio total de ocorrências de riscos. 

tratamento do risco e no bloqueio total de ocorrências de riscos.

comunicação e consulta do risco e no uso de análise de riscos somente quantitativa.

aceitação do risco e no uso de análise de riscos somente qualitativa.

definição do contexto e no processo de avaliação de riscos.

CERTO

ERRADO

tem potencial para criar novos riscos ou modificar riscos existentes e identificados. 

permite à organização deliberar sobre a aceitação dos riscos a partir de seu tratamento adequado.

tem potencial para evitar que ocorra a atividade ou condição que dá origem aos riscos. 

permite à organização gerenciar o risco por meio de controles para reduzir o risco residual.

permite à organização decidir sobre a retenção dos riscos com base em sua avaliação.

CERTO

ERRADO

ERRADO

CERTO

Convém que o nível dos riscos seja comparado com os critérios de avaliação e com os critérios para a aceitação do risco.

Convém que a atividade ou condição que dá origem a um determinado risco seja incentivada.

Convém que a responsabilidade pelos ativos seja institucional sem promover responsabilização individualizada. 

Convém que a identificação de riscos exclua aqueles cujas fontes estão além do controle da organização. 

A valoração dos ativos pode ser determinada de duas maneiras: pela valoração da reposição do ativo e as consequências ao negócio relacionadas à perda ou pelo comprometimento do ativo.

A análise qualitativa de riscos depende da exatidão e da integridade dos dados.

A análise de riscos qualitativa é realizada com valores numéricos, de preferência com dados históricos de incidentes.

Uma das etapas da análise de riscos é a análise das consequências. Nessa fase, é importante analisar, de forma quantitativa, as consequências.

Na avaliação de probabilidade, designam-se valores para a probabilidade e para as consequências de um risco.