![[MÊS DO SERVIDOR] R$ 2,33 por dia – Cabeçalho](https://blog-static.infra.grancursosonline.com.br/wp-content/uploads/2026/10/15161120/mes-do-servidor-233preco-cabecalho.webp)
Gestão de riscos de segurança da informação, aplicação prática e concursos
Olá, querido(a) aluno(a)!
Toda organização convive com incertezas: um ataque pode explorar uma vulnerabilidade, um fornecedor pode interromper um serviço crítico e um erro humano pode expor informações. A gestão de riscos transforma essas possibilidades em decisões justificadas sobre prioridades, controles, responsáveis e recursos.
A ISO/IEC 27005:2022 orienta esse trabalho no campo da segurança da informação. Neste artigo, você entenderá o processo completo, a relação da norma com a ISO/IEC 27001, a ISO/IEC 27002 e a ISO 31000, os tipos de análise e as opções de tratamento. Também verá um exemplo prático e os pontos mais cobrados em concursos.
| VISÃO RÁPIDA | A ISO/IEC 27005 fornece orientação para identificar, analisar, avaliar, tratar, comunicar, monitorar e revisar riscos de segurança da informação. Ela apoia o SGSI da ISO/IEC 27001, mas não estabelece uma certificação própria nem impõe uma única metodologia de cálculo. |
1. O que é a ISO 27005?
A ISO/IEC 27005:2022 é uma norma internacional de orientação para a gestão de riscos de segurança da informação. Seu título oficial é “Information security, cybersecurity and privacy protection: Guidance on managing information security risks”. A quarta edição foi publicada em outubro de 2022 e pode ser aplicada por organizações de qualquer porte ou setor.
Sua finalidade é apoiar decisões baseadas em risco dentro de um Sistema de Gestão de Segurança da Informação, o SGSI. A norma ajuda a estabelecer o contexto, reconhecer cenários de risco, estimar sua importância, comparar resultados com critérios definidos, escolher tratamentos e acompanhar o risco ao longo do tempo.
A redação correta é ISO/IEC 27005, pois a norma é publicada conjuntamente pela International Organization for Standardization e pela International Electrotechnical Commission. Em pesquisas, aparecem formas abreviadas como ISO 27005, 27005 ISO e apenas 27005. Todas costumam apontar para o mesmo documento, mas a designação formal inclui ISO/IEC e o ano da edição.
| PEGADINHA DE PROVA | A ISO/IEC 27005 é uma norma de diretrizes. A organização pode certificar seu SGSI segundo a ISO/IEC 27001, mas não recebe uma certificação ISO/IEC 27005 isolada. Também não existe uma ferramenta única obrigatória para calcular riscos. |
2. Para que serve a ISO/IEC 27005?
A norma serve para organizar o raciocínio sobre riscos e tornar as decisões rastreáveis. Em vez de instalar controles apenas por hábito ou medo, a organização relaciona cada decisão a objetivos, informações, processos, ameaças, vulnerabilidades, consequências, critérios de aceitação e prioridades.
| Aplicação | Como a gestão de riscos contribui |
|---|---|
| Governança | Alinha decisões de segurança aos objetivos, ao apetite e aos critérios de risco da organização. |
| SGSI | Fornece orientação para executar a avaliação e o tratamento requeridos pela ISO/IEC 27001. |
| Continuidade | Evidencia cenários que podem interromper serviços e ajuda a priorizar resiliência e recuperação. |
| Conformidade | Considera obrigações legais, regulatórias e contratuais na avaliação das consequências. |
| Investimentos | Direciona orçamento e esforço para riscos relevantes, evitando controles desconectados da necessidade. |
| Decisão | Registra premissas, incertezas, responsáveis, tratamentos e justificativas de aceitação. |
Gerir riscos não significa eliminar toda incerteza. Algumas atividades precisam continuar mesmo após a implementação de controles. O objetivo é manter os riscos em níveis compatíveis com os critérios aprovados e fornecer informação confiável para que o responsável decida conscientemente.
3. ISO 27005, ISO 27001, ISO 27002 e ISO 31000
| Norma | Objeto principal | Papel na prática | Certificável? |
|---|---|---|---|
| ISO/IEC 27001:2022 | Requisitos do SGSI. | Define o que o sistema de gestão deve cumprir, inclusive avaliação e tratamento de riscos. | Sim, a organização pode certificar o SGSI. |
| ISO/IEC 27002:2022 | Controles de segurança da informação. | Orienta a implementação de controles que podem ser selecionados no tratamento. | Não. |
| ISO/IEC 27005:2022 | Gestão de riscos de segurança da informação. | Detalha como estruturar e operar o processo de riscos que apoia o SGSI. | Não. |
| ISO 31000:2018 | Gestão de riscos em qualquer domínio. | Oferece princípios, estrutura e processo gerais, adaptáveis a toda a organização. | Não. |
A relação pode ser resumida assim: a ISO/IEC 27001 contém requisitos; a ISO/IEC 27005 oferece orientação especializada para cumprir os requisitos de risco; a ISO/IEC 27002 auxilia na escolha e na implementação de controles; e a ISO 31000 fornece a base geral de gestão de riscos. A ISO/IEC 27005 adapta essa base ao contexto da segurança da informação.
Os controles do Anexo A da ISO/IEC 27001 e as orientações da ISO/IEC 27002 não formam uma lista automática a ser copiada. A seleção decorre dos riscos, dos requisitos legais e contratuais e de outras necessidades da organização. No SGSI, controles necessários são comparados com o Anexo A e registrados na Declaração de Aplicabilidade.
4. Como funciona o processo de gestão de riscos
O processo é cíclico e integrado à governança. Comunicação, consulta, monitoramento, revisão, registro e relato acompanham as demais atividades. Mudanças tecnológicas, novos fornecedores, incidentes, alterações legais ou resultados de auditoria podem exigir nova avaliação.
1. Definir o contexto: delimitar escopo, objetivos, partes interessadas, responsabilidades, critérios de risco e critérios de aceitação.
2. Identificar riscos: descrever cenários, causas, eventos, ativos ou processos afetados, ameaças, vulnerabilidades, controles existentes e consequências possíveis.
3. Analisar riscos: compreender natureza, fontes e nível do risco, considerando probabilidade, consequências, controles existentes e incertezas.
4. Avaliar riscos: comparar os resultados da análise com os critérios definidos para priorizar decisões e ações.
5. Tratar riscos: selecionar opções, definir controles, elaborar plano, atribuir responsáveis e verificar o risco remanescente.
6. Aceitar quando cabível: submeter o risco residual à autoridade competente, de acordo com os critérios e com a responsabilidade atribuída.
7. Monitorar e revisar: acompanhar mudanças, eficácia dos controles, indicadores, incidentes e necessidade de reavaliação.
| MEMORIZAÇÃO | Avaliação de riscos é o conjunto formado por identificação, análise e avaliação. Tratamento vem depois. Em inglês, risk assessment abrange risk identification, risk analysis e risk evaluation. |
5. Estabelecimento do contexto e dos critérios
Antes de classificar riscos, a organização precisa saber o que está protegendo e como tomará decisões. O contexto externo inclui legislação, regulação, contratos, mercado, ameaças e dependências. O contexto interno inclui objetivos, estrutura, cultura, processos, recursos, tecnologia, dados, fornecedores e tolerância a perdas.
Os critérios de risco definem como medir a relevância dos cenários. Devem ser coerentes com os objetivos e considerar, conforme o caso, confidencialidade, integridade, disponibilidade, privacidade, obrigações, continuidade, impacto financeiro, reputação, pessoas e serviços públicos.
| Critério | Pergunta orientadora | Exemplo |
|---|---|---|
| Consequência | O que ocorre se o evento se concretizar? | Interrupção de serviço, exposição de dados ou sanção. |
| Probabilidade | Quão plausível ou frequente é o cenário? | Rara, possível, provável ou frequência estimada. |
| Nível de risco | Como consequência e probabilidade serão combinadas? | Matriz, pontuação ponderada ou modelo quantitativo. |
| Avaliação | Quais níveis exigem prioridade ou ação? | Risco alto recebe tratamento antes do risco moderado. |
| Aceitação | Quem pode aceitar qual nível de risco? | Gestor do processo aceita risco baixo dentro de sua alçada. |
Probabilidade e impacto são elementos centrais, mas não são os únicos dados possíveis. Valor e criticidade dos ativos, eficácia de controles, velocidade do impacto, interdependências e grau de incerteza podem influenciar a análise. A escala e as regras devem ser documentadas e aplicadas com consistência.
6. Identificação de riscos: ativos, ameaças e vulnerabilidades
Identificar um risco é formular um cenário compreensível, e não apenas listar um ativo ou uma ameaça. Um bom registro conecta a fonte ou ameaça a um evento, às condições que o tornam possível e às consequências para os objetivos. Também identifica o proprietário do risco, isto é, a pessoa com autoridade e responsabilidade para gerenciá-lo.
| Elemento | Significado | Exemplo |
|---|---|---|
| Ativo | Algo que tem valor e precisa ser protegido. | Base de dados, serviço, processo, pessoa ou reputação. |
| Ameaça | Causa potencial de um incidente indesejado. | Criminoso, erro humano, falha técnica, incêndio ou fornecedor. |
| Vulnerabilidade | Fragilidade que pode ser explorada ou contribuir para o evento. | Configuração pública, software desatualizado ou falta de segregação. |
| Evento | Ocorrência ou mudança de circunstâncias. | Acesso não autorizado ao repositório de cópias. |
| Consequência | Resultado do evento sobre os objetivos. | Vazamento, indisponibilidade, perda financeira ou sanção. |
| Controle existente | Medida já aplicada que modifica o risco. | MFA, backup, monitoramento, contrato ou treinamento. |
A edição de 2022 admite diferentes formas de construir cenários e não obriga a organização a começar sempre por um inventário de ativos. Uma abordagem baseada em eventos pode partir de situações indesejadas; uma abordagem baseada em ativos pode partir do que tem valor. Em ambos os casos, o cenário deve permitir análise, decisão e rastreabilidade.
| PEGADINHA DE PROVA | Ameaça não é sinônimo de vulnerabilidade. A ameaça pode explorar uma vulnerabilidade e produzir um evento com consequências. Um ativo isolado também não é um risco: é necessário relacioná-lo à incerteza que afeta objetivos. |
7. Análise qualitativa, semiquantitativa e quantitativa
A ISO/IEC 27005 não determina uma única técnica. A organização escolhe o nível de detalhe compatível com a decisão, a qualidade dos dados, o custo da análise e a incerteza. O uso de números não garante precisão, e uma escala qualitativa bem definida pode ser mais útil do que uma fórmula alimentada por estimativas frágeis.
| Abordagem | Como representa o risco | Vantagens | Limitações |
|---|---|---|---|
| Qualitativa | Classes ordinais, como baixo, médio, alto e crítico. | É simples, comunicável e útil quando faltam dados numéricos. | Pode ocultar diferenças e variar conforme o julgamento dos participantes. |
| Semi-quantitativa | Pontuações, pesos e faixas numéricas. | Facilita priorização e comparação com regras documentadas. | Os números representam escalas e não devem ser tratados como valores exatos. |
| Quantitativa | Frequências, probabilidades, perdas ou distribuições numéricas. | Pode apoiar análise financeira, cenários e custo-benefício. | Exige dados, competências e tratamento explícito da incerteza. |
Uma matriz que cruza probabilidade e impacto é uma técnica comum, mas não é um requisito universal da norma. Fórmulas como perda anual esperada também podem ser usadas em abordagens quantitativas, porém não constituem o método oficial da ISO/IEC 27005. Em prova, desconfie de afirmações que transformem um exemplo de técnica em obrigação normativa.
8. Exemplo prático de avaliação de risco
Considere uma organização que mantém cópias de segurança com dados pessoais em armazenamento em nuvem. Uma revisão detecta que permissões excessivas podem permitir acesso externo. O cenário pode ser registrado da seguinte forma:
| Campo | Registro resumido |
|---|---|
| Objetivo afetado | Preservar confidencialidade, disponibilidade e conformidade dos dados de backup. |
| Cenário | Um agente não autorizado explora permissões excessivas e acessa cópias contendo dados pessoais. |
| Ameaça e vulnerabilidade | Ator malicioso ou conta comprometida; configuração de acesso inadequada e privilégios amplos. |
| Controles existentes | Registro de logs e autenticação por senha, sem revisão periódica de privilégios. |
| Análise | Probabilidade possível e consequência alta, segundo a escala interna. |
| Avaliação | Nível alto, superior ao critério de aceitação e com tratamento prioritário. |
| Tratamento | Restringir acesso, aplicar MFA, criptografia, revisão de privilégios, alertas e testes de restauração. |
| Risco residual | Reavaliar após os controles; aceitar apenas se estiver dentro dos critérios e houver aprovação do responsável. |
O exemplo não atribui um valor universal, porque “possível” e “alto” dependem dos critérios da organização. A mesma configuração pode gerar níveis distintos em contextos diferentes. Em um pequeno ambiente de testes sem dados reais, a consequência tende a ser menor; em um órgão com dados sensíveis e serviço essencial, pode ser muito maior.
9. Opções de tratamento de riscos
Depois de avaliar e priorizar, a organização seleciona uma ou mais opções de tratamento. O tratamento deve ser proporcional, viável e alinhado aos objetivos. Sua escolha considera custo, benefício, obrigações, eficácia esperada, efeitos colaterais e riscos introduzidos pelos próprios controles.
| Opção | O que significa | Exemplo |
|---|---|---|
| Reduzir ou modificar | Alterar probabilidade ou consequência por meio de controles. | Aplicar MFA, segmentação, criptografia, backup e monitoramento. |
| Reter ou aceitar | Manter o risco por decisão informada e dentro da alçada definida. | Aceitar risco baixo cujo tratamento seria desproporcional. |
| Compartilhar ou transferir | Distribuir parte das consequências ou responsabilidades com terceiros. | Contratar seguro ou serviço especializado com obrigações contratuais. |
| Evitar | Não iniciar ou interromper a atividade que gera o risco. | Descontinuar um serviço inseguro ou não coletar um dado desnecessário. |
Compartilhar ou transferir não faz o risco desaparecer. Contratos, terceirização e seguros podem redistribuir consequências, mas a organização mantém responsabilidades que não podem ser simplesmente delegadas, especialmente obrigações legais, governança e acompanhamento do fornecedor.
O plano de tratamento registra ações, responsáveis, recursos, prazos, prioridades, indicadores e resultado esperado. No SGSI da ISO/IEC 27001, a seleção de controles deve ser confrontada com o Anexo A para verificar se algum controle necessário foi omitido. A justificativa de inclusão ou exclusão aparece na Declaração de Aplicabilidade.
10. Risco residual, aceitação e risco inerente
Risco residual é o risco que permanece depois do tratamento. Ele deve ser analisado e comparado com os critérios de aceitação. Se continuar acima do nível aceitável, a organização pode implementar tratamento adicional, modificar a opção escolhida, evitar a atividade ou submeter uma decisão excepcional à autoridade competente, conforme sua governança.
Risco inerente costuma designar o nível existente antes de considerar controles. O termo é útil em muitas metodologias, mas a banca pode tentar transformá-lo em sinônimo de risco residual. Eles ocupam momentos diferentes: o inerente representa a exposição inicial; o residual é o que sobra após controles ou tratamento.
| ATENÇÃO | Aceitação não é omissão. Deve ser uma decisão informada, registrada, atribuída ao responsável com autoridade e sujeita a monitoramento. Um controle reduz o risco, mas não garante que ele chegue a zero. |
11. Monitoramento, comunicação e melhoria contínua
Riscos mudam. Uma avaliação válida hoje pode perder valor quando surge nova vulnerabilidade, muda o processo, entra um fornecedor, ocorre um incidente ou se altera uma obrigação legal. Por isso, monitoramento e revisão verificam premissas, indicadores, eficácia de controles, risco residual, mudanças de contexto e desempenho do processo.
Comunicação e consulta aproximam proprietários de riscos, equipes técnicas, gestores, jurídico, auditoria, continuidade, privacidade e outras partes interessadas. Registro e relato preservam evidências sobre critérios, fontes, incertezas, decisões e aprovações. Essa documentação melhora a governança, a prestação de contas e a repetibilidade das análises.
A melhoria contínua usa incidentes, testes, auditorias, métricas e mudanças para aperfeiçoar critérios e tratamentos. A gestão de riscos não deve ser um relatório anual isolado. Ela precisa participar de projetos, aquisições, mudanças, gestão de fornecedores, resposta a incidentes e planejamento de continuidade.
12. Aplicação em organizações pequenas
Uma pequena empresa não precisa começar com software complexo. Pode delimitar os serviços essenciais, definir escalas simples, reunir responsáveis, registrar cenários prioritários em uma planilha e revisar o resultado periodicamente. O rigor está na coerência das decisões, não na quantidade de documentos.
1. Escolha o escopo: comece por um serviço crítico, como vendas, folha de pagamento ou atendimento ao cidadão.
2. Defina critérios simples: use descrições claras de probabilidade e consequência, com níveis de aceitação e responsáveis.
3. Liste cenários relevantes: inclua indisponibilidade, acesso indevido, fraude, ransomware, erro humano e falha de fornecedor.
4. Priorize e trate: selecione ações viáveis, prazos e responsáveis, sem confundir urgência com ausência de análise.
5. Revise: acompanhe controles e reavalie após mudanças, incidentes ou em periodicidade definida.
Esse processo enxuto pode apoiar continuidade de negócios, proteção de dados, decisões de contratação e requisitos de clientes. À medida que a organização amadurece, técnicas, métricas e ferramentas podem ser ampliadas sem abandonar os critérios e a rastreabilidade.
13. Como a ISO 27005 aparece em concursos públicos
A ISO/IEC 27005 aparece em editais de Segurança da Informação, governança, gestão de riscos, auditoria e continuidade. A cobrança pode ser literal, conceitual ou baseada em cenários. As bancas exploram a ordem das atividades, a relação entre normas, a diferença entre ameaça e vulnerabilidade e as opções de tratamento.
| Afirmação típica | Julgamento | Justificativa |
|---|---|---|
| A ISO/IEC 27005 define requisitos certificáveis para o SGSI. | Errada | Ela oferece orientação; os requisitos certificáveis do SGSI estão na ISO/IEC 27001. |
| Identificação, análise e avaliação compõem a avaliação de riscos. | Certa | As três atividades formam o risk assessment. |
| O tratamento ocorre antes da avaliação do risco. | Errada | Primeiro o risco é identificado, analisado e avaliado; depois se decide o tratamento. |
| Transferir um risco elimina toda responsabilidade da organização. | Errada | O compartilhamento não apaga obrigações, governança nem risco residual. |
| A ISO/IEC 27005 impõe uma matriz única de probabilidade e impacto. | Errada | A norma permite adaptar técnicas ao contexto, aos dados e às decisões. |
| Risco residual é o que permanece após o tratamento. | Certa | Ele deve ser comparado com critérios de aceitação e monitorado. |
| A ISO 31000 trata apenas de riscos de segurança da informação. | Errada | Ela é geral; a ISO/IEC 27005 especializa a gestão para segurança da informação. |
13.1. Etapas mais frequentes e pegadinhas
As etapas mais cobradas são o estabelecimento do contexto, a identificação, a análise, a avaliação, o tratamento, a aceitação, a comunicação e o monitoramento. Memorize especialmente o agrupamento da avaliação de riscos e a distinção entre avaliar, tratar e aceitar.
| Pegadinha | Correção |
|---|---|
| Avaliação e análise são sinônimos. | Análise estima a natureza e o nível; avaliação compara o resultado com critérios. Em português, avaliação de riscos também pode nomear o conjunto das três atividades. |
| Ameaça é uma falha do sistema. | A falha pode ser vulnerabilidade; ameaça é causa potencial capaz de explorar uma condição e gerar consequências. |
| Todo risco deve ser reduzido. | O risco pode ser reduzido, retido, compartilhado ou evitado, conforme critérios e decisão autorizada. |
| Risco residual é necessariamente aceitável. | Ele apenas representa o que permanece. Ainda precisa ser comparado com os critérios de aceitação. |
| Quanto maior a pontuação, mais objetiva é a análise. | Pontuações dependem de escalas, premissas e dados; números não eliminam julgamento ou incerteza. |
| ISO 27002 substitui a avaliação de riscos. | A ISO/IEC 27002 orienta controles; a seleção deve responder ao contexto e aos riscos. |
13.2. Revisão em 60 segundos
| Ponto | Síntese para memorizar |
|---|---|
| Finalidade | Orientar a gestão de riscos de segurança da informação e apoiar o SGSI. |
| Avaliação | Identificação + análise + avaliação do risco. |
| Critérios | Probabilidade, consequência, nível, prioridade e aceitação, definidos no contexto. |
| Tratamento | Reduzir, reter, compartilhar ou evitar, com plano e responsável. |
| Residual | Risco remanescente após tratamento; pode exigir nova ação ou aceitação. |
| Normas | 27001: requisitos; 27002: controles; 27005: riscos; 31000: gestão geral. |
Conclusão
A ISO/IEC 27005:2022 transforma incertezas de segurança da informação em um processo estruturado de decisão. Ela orienta a definição do contexto, a identificação de cenários, a análise, a comparação com critérios, o tratamento e o acompanhamento dos riscos. O processo permanece útil tanto em um SGSI formal quanto em uma pequena organização que precisa priorizar ações com recursos limitados.
Para concursos, concentre-se na relação entre as normas, nas três atividades que compõem a avaliação de riscos, nas opções de tratamento e no conceito de risco residual. As pegadinhas trocam a ordem das etapas, confundem ameaça e vulnerabilidade ou atribuem certificação e método obrigatório à norma.
FAQ sobre a ISO 27005
1. O que é a ISO 27005?
É a norma internacional que orienta a gestão de riscos de segurança da informação e apoia a implantação e a melhoria de um SGSI baseado na ISO/IEC 27001.
2. Qual é a diferença entre a ISO 27005 e a ISO 31000?
A ISO 31000 trata da gestão de riscos em qualquer domínio; a ISO/IEC 27005 adapta seus princípios e processo ao contexto da segurança da informação.
3. Quais são os critérios utilizados para avaliar um risco?
Normalmente consideram probabilidade, consequência, nível do risco e critérios de prioridade e aceitação, além do contexto, dos controles e das obrigações aplicáveis.
4. Quais são as opções de tratamento de riscos previstas na ISO 27005?
As opções usuais são reduzir ou modificar, reter ou aceitar, compartilhar ou transferir e evitar o risco, isoladamente ou em combinação.
5. O que é risco residual no contexto da ISO 27005?
É o risco que permanece após o tratamento. Ele deve ser reavaliado, comparado com os critérios de aceitação e monitorado.
6. Como a ISO 27005 é cobrada em questões de concursos públicos?
Aparece em itens conceituais e cenários sobre processo, critérios, relação com outras normas, elementos do risco, tratamento, aceitação e monitoramento.
7. Quais etapas da gestão de riscos da ISO 27005 são mais frequentes em provas de concursos?
Contexto, identificação, análise, avaliação, tratamento, aceitação, comunicação e monitoramento; é essencial lembrar que as três primeiras atividades centrais formam a avaliação de riscos.
8. Quais são as principais pegadinhas sobre a ISO 27005 em provas de Segurança da Informação?
Confundir ameaça com vulnerabilidade, análise com avaliação, risco inerente com residual, transferência com eliminação e diretriz com requisito certificável.
Referências
ISO. ISO/IEC 27005:2022: Information security, cybersecurity and privacy protection: Guidance on managing information security risks. 4. ed. Geneva: ISO, 2022. Disponível em: https://www.iso.org/standard/80585.html. Acesso em: 17 out. 2026.
ISO. ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection: Information security management systems: Requirements. 3. ed. Geneva: ISO, 2022. Disponível em: https://www.iso.org/standard/27001. Acesso em: 17 out. 2026.
ISO. ISO/IEC 27002:2022: Information security, cybersecurity and privacy protection: Information security controls. 3. ed. Geneva: ISO, 2022. Disponível em: https://www.iso.org/standard/75652.html. Acesso em: 17 out. 2026.
ISO. ISO 31000:2018: Risk management: Guidelines. 2. ed. Geneva: ISO, 2018. Disponível em: https://www.iso.org/standard/31000. Acesso em: 17 out. 2026.
IEC. IEC 31010:2019: Risk management: Risk assessment techniques. 2. ed. Geneva: IEC, 2019. Disponível em: https://webstore.iec.ch/en/publication/59809. Acesso em: 17 out. 2026.
Prof. Jósis Alves
Analista de TI no Supremo Tribunal Federal
Instagram: @josisalvesprof @aprovati
![[MÊS DO SERVIDOR] R$ 2,33 por dia – Post](https://blog-static.infra.grancursosonline.com.br/wp-content/uploads/2026/10/15161939/mes-do-servidor-233preco-post.webp)
