A gestão de riscos é um processo essencial para garantir a segurança da informação nas organizações. Envolve a identificação, a avaliação e o tratamento de riscos, com o objetivo de proteger a confidencialidade, integridade e disponibilidade das informações. Fonte: BAARS, H. et al. Fundamentos de segurança da informação: com base na ISO 27001 e na ISO 27002. Rio de Janeiro: BRASPORT, 2018. Sobre os conceitos de risco na gestão de segurança da informação, assinale a alternativa correta:

Alternativa B - O risco é o potencial de uma ação ou atividade escolhida levar a uma perda ou evento indesejável.

Introdução

A gestão de riscos em segurança da informação segue padrões internacionais como a ISO 27001 e ISO 27002. Compreender o conceito correto de risco é fundamental para implementar controles adequados nas organizações.

Desenvolvimento

Na teoria de gestão de riscos, existem três componentes essenciais:

O risco representa a incerteza associada a consequências, podendo ser positivo ou negativo. Na segurança da informação, focamos principalmente nos riscos negativos que afetam a tríade CID (Confidencialidade, Integridade e Disponibilidade).

Análise

Vamos examinar cada alternativa:

• Alternativa A: Incorreta. Riscos de TI podem ser internos (funcionários, falhas humanas) ou externos (hackers, desastres naturais)
• Alternativa B: Correta. Esta é a definição padrão segundo normas como ISO 31000 e ISO 27005
• Alternativa C: Incorreta. Risco não é apenas impacto; inclui também a probabilidade de ocorrência
• Alternativa D: Incorreta. O risco está intrinsecamente ligado à incerteza e requer teoria da decisão para tratamento adequado
• Alternativa E: Incorreta. Alguns riscos não podem ser totalmente controlados; devem ser aceitos, transferidos ou mitigados dentro de limites aceitáveis

Conclusão

A alternativa B apresenta a definição mais precisa e alinhada com as normas internacionais de segurança da informação. Compreender que risco envolve tanto a probabilidade quanto o impacto permite às organizações priorizarem seus tratamentos de forma eficiente.

Nota: Para aplicação prática em concursos, recomenda-se verificar a banca examinadora específica, pois algumas podem utilizar terminologias próprias.