Alternativa B - Residual
Introdução à Gestão de Riscos
Esta questão aborda conceitos fundamentais de Gestão de Riscos (GR) aplicados à Segurança da Informação e continuidade de negócios. Para entender a resposta, precisamos diferenciar o risco inicial do risco que resta após a implementação de medidas de proteção.
No cenário apresentado:
- Risco Inicial: A probabilidade de faltar energia elétrica.
- Controle Implementado: O uso de um nobreak para mitigar esse problema.
- Situação Atual: Mesmo com o nobreak, existe a chance de a falta de energia durar mais do que a bateria suporta.
Desenvolvimento do Conceito
Na metodologia de gestão de riscos, o risco é tratado em etapas. Após aplicar os controles (como o nobreak), calculamos o quanto de risco ainda existe.
Risco_{Residual} = Risco_{Inicial} - Eficácia_{do\_Controle}
O termo técnico para o risco que permanece mesmo após a implementação de controles de segurança é Risco Residual.
- Risco Inicial: O perigo bruto antes de qualquer medida.
- Controle (Mitigação): Ação tomada para reduzir a probabilidade ou impacto (ex: instalar nobreak).
- Risco Residual: O nível de risco que sobra. Se ele for alto demais, exige novos tratamentos. Se for baixo, pode ser aceito ("risco sem tratamento" adicional).
No enunciado, a empresa reconheceu que o nobreak não resolve 100% do problema (em casos de falhas muito longas). O risco que "sobrou" e que foi categorizado como algo que talvez não precise de tratamento imediato (ou seja, o risco remanescente) é, por definição, o risco residual.
Análise das Alternativas
| Alternativa | Análise |
|---|
| A) Criterioso | Termo genérico, não utilizado como classificação de risco na ISO 27005 ou NBR 17961. |
| B) Residual | Correto. Refere-se ao risco remanescente após a aplicação dos controles de segurança. |
| C) Perceptivo | Relacionado à percepção humana, não é uma categoria formal de risco. |
| D) Contextual | Refere-se ao ambiente onde o risco ocorre, não ao estado do risco após tratamento. |
| E) Comunicativo | Relacionado ao processo de comunicar o risco às partes interessadas. |
Conclusão
A situação descrita caracteriza claramente o Risco Residual, pois representa a vulnerabilidade que persiste mesmo após a adoção de uma medida de segurança (o nobreak). A decisão de considerar isso como "risco sem tratamento" implica na aceitação desse nível de risco remanescente.
Portanto, a alternativa correta é a B.