Qual dos seguintes elementos é essencial na gestão de riscos de segurança da informação?

Alternativa C - Medidas de controle

Introdução

A Gestão de Riscos de Segurança da Informação é um processo contínuo que visa identificar, analisar e tratar riscos para proteger os ativos da organização. Embora todos os itens listados façam parte do ecossistema de segurança, é necessário distinguir qual deles representa a ação essencial para efetivar a proteção.

Desenvolvimento

O processo de gestão de riscos segue, genericamente, as seguintes etapas:

1. Identificação: Descobrir ativos, ameaças e vulnerabilidades.
2. Avaliação: Calcular o nível de risco (probabilidade x impacto).
3. Tratamento: Decidir o que fazer com o risco identificado.

É na etapa de Tratamento que a gestão se torna prática e efetiva. Para mitigar (reduzir) um risco, é necessário implementar barreiras de proteção. Essas barreiras são chamadas de Medidas de Controle.

Sem a implementação de controles, a análise de risco permanece apenas teórica e não garante a continuidade dos negócios nem a proteção dos ativos, que é o objetivo final citado no enunciado.

Análise

• Medidas de controle (Alternativa C): Correta. São as ações, políticas, procedimentos e ferramentas (como firewalls, criptografia, treinamento) implementadas especificamente para reduzir o risco a um nível aceitável. Elas são o meio prático de gerir o risco.
• Ativos de informação (Alternativa E): Embora sejam o objeto da proteção, eles são o ponto de partida da análise, não a ferramenta de gestão em si.
• Comunicação do risco (Alternativa A): É um processo de suporte para garantir que as partes interessadas compreendam os riscos, mas não é a medida de proteção direta.
• Aceitação do risco (Alternativa B): É apenas uma das estratégias de tratamento (assumir o risco), não cobrindo todas as situações onde a mitigação é necessária.
• Vulnerabilidades identificadas (Alternativa D): São dados/informações coletadas durante a análise, não a ação de gestão.

Conclusão

Para transformar a análise de risco em segurança real, é indispensável a aplicação de medidas de controle, que atuam diretamente na mitigação das ameaças aos ativos de informação.