Alternativa D - Através do estabelecimento de uma política de avaliação e gerenciamento de riscos
Análise da Questão
Esta questão aborda o tema fundamental de Gestão de Riscos em Segurança da Informação. O objetivo principal é entender como uma organização deve agir para mitigar ameaças de forma sistemática e eficaz.
Por que a Alternativa D está correta?
A gestão de riscos não é uma ação pontual, mas sim um processo contínuo e estruturado. A alternativa D descreve a abordagem mais completa e profissional:
- Política Formal: Estabelecer uma política define as regras do jogo, responsabilidades e processos que todos devem seguir.
- Avaliação: Envolve identificar ativos, ameaças e vulnerabilidades para entender o cenário atual.
- Gerenciamento: Envolve decidir como tratar esses riscos (aceitar, mitigar, transferir ou evitar).
Sem essa estrutura organizacional, as medidas de segurança tendem a ser reativas e descoordenadas.
Por que as outras alternativas estão incorretas?
Vamos analisar os erros nas demais opções para reforçar o aprendizado:
- Alternativa A (Controles biométricos): Embora a biometria seja um método forte de autenticação, restringir o acesso apenas a ela é inviável na maioria dos cenários e não resolve outros tipos de riscos (como falhas de configuração ou malware). É um controle específico, não uma estratégia genérica.
- Alternativa B (Aumentar camadas de software): Adicionar complexidade desnecessária ao software pode, na verdade, criar novas vulnerabilidades. A segurança não depende da quantidade de código, mas da qualidade e robustez das implementações.
- Alternativa C (Riscos de menor ocorrência): Isso é contraproducente. O foco da gestão de riscos deve ser nos eventos com maior impacto e/ou probabilidade, pois são eles que podem causar danos reais à organização.
- Alternativa E (Identificação de todos os riscos): Identificar é apenas o primeiro passo do ciclo de gestão de riscos. Saber que existe um risco não significa saber como tratá-lo ou mitigá-lo. Sem a etapa de gerenciamento (tratamento), a identificação sozinha não reduz as chances de o problema ocorrer.
Conclusão
Para reduzir sistematicamente as chances de um risco se tornar um problema, é necessário implementar um framework organizado. A criação de uma política de avaliação e gerenciamento de riscos garante que todas as etapas (identificação, análise, tratamento e monitoramento) sejam executadas de forma coordenada e segura.