Gestão de riscos de segurança da informação, aplicação prática e concursos

Olá, querido(a) aluno(a)!

Toda organização convive com incertezas: um ataque pode explorar uma vulnerabilidade, um fornecedor pode interromper um serviço crítico e um erro humano pode expor informações. A gestão de riscos transforma essas possibilidades em decisões justificadas sobre prioridades, controles, responsáveis e recursos.

A ISO/IEC 27005:2022 orienta esse trabalho no campo da segurança da informação. Neste artigo, você entenderá o processo completo, a relação da norma com a ISO/IEC 27001, a ISO/IEC 27002 e a ISO 31000, os tipos de análise e as opções de tratamento. Também verá um exemplo prático e os pontos mais cobrados em concursos.

1. O que é a ISO 27005?

A ISO/IEC 27005:2022 é uma norma internacional de orientação para a gestão de riscos de segurança da informação. Seu título oficial é “Information security, cybersecurity and privacy protection: Guidance on managing information security risks”. A quarta edição foi publicada em outubro de 2022 e pode ser aplicada por organizações de qualquer porte ou setor.

Sua finalidade é apoiar decisões baseadas em risco dentro de um Sistema de Gestão de Segurança da Informação, o SGSI. A norma ajuda a estabelecer o contexto, reconhecer cenários de risco, estimar sua importância, comparar resultados com critérios definidos, escolher tratamentos e acompanhar o risco ao longo do tempo.

A redação correta é ISO/IEC 27005, pois a norma é publicada conjuntamente pela International Organization for Standardization e pela International Electrotechnical Commission. Em pesquisas, aparecem formas abreviadas como ISO 27005, 27005 ISO e apenas 27005. Todas costumam apontar para o mesmo documento, mas a designação formal inclui ISO/IEC e o ano da edição.

2. Para que serve a ISO/IEC 27005?

A norma serve para organizar o raciocínio sobre riscos e tornar as decisões rastreáveis. Em vez de instalar controles apenas por hábito ou medo, a organização relaciona cada decisão a objetivos, informações, processos, ameaças, vulnerabilidades, consequências, critérios de aceitação e prioridades.

Gerir riscos não significa eliminar toda incerteza. Algumas atividades precisam continuar mesmo após a implementação de controles. O objetivo é manter os riscos em níveis compatíveis com os critérios aprovados e fornecer informação confiável para que o responsável decida conscientemente.

3. ISO 27005, ISO 27001, ISO 27002 e ISO 31000

A relação pode ser resumida assim: a ISO/IEC 27001 contém requisitos; a ISO/IEC 27005 oferece orientação especializada para cumprir os requisitos de risco; a ISO/IEC 27002 auxilia na escolha e na implementação de controles; e a ISO 31000 fornece a base geral de gestão de riscos. A ISO/IEC 27005 adapta essa base ao contexto da segurança da informação.

Os controles do Anexo A da ISO/IEC 27001 e as orientações da ISO/IEC 27002 não formam uma lista automática a ser copiada. A seleção decorre dos riscos, dos requisitos legais e contratuais e de outras necessidades da organização. No SGSI, controles necessários são comparados com o Anexo A e registrados na Declaração de Aplicabilidade.

4. Como funciona o processo de gestão de riscos

O processo é cíclico e integrado à governança. Comunicação, consulta, monitoramento, revisão, registro e relato acompanham as demais atividades. Mudanças tecnológicas, novos fornecedores, incidentes, alterações legais ou resultados de auditoria podem exigir nova avaliação.

1. Definir o contexto: delimitar escopo, objetivos, partes interessadas, responsabilidades, critérios de risco e critérios de aceitação.

2. Identificar riscos: descrever cenários, causas, eventos, ativos ou processos afetados, ameaças, vulnerabilidades, controles existentes e consequências possíveis.

3. Analisar riscos: compreender natureza, fontes e nível do risco, considerando probabilidade, consequências, controles existentes e incertezas.

4. Avaliar riscos: comparar os resultados da análise com os critérios definidos para priorizar decisões e ações.

5. Tratar riscos: selecionar opções, definir controles, elaborar plano, atribuir responsáveis e verificar o risco remanescente.

6. Aceitar quando cabível: submeter o risco residual à autoridade competente, de acordo com os critérios e com a responsabilidade atribuída.

7. Monitorar e revisar: acompanhar mudanças, eficácia dos controles, indicadores, incidentes e necessidade de reavaliação.

5. Estabelecimento do contexto e dos critérios

Antes de classificar riscos, a organização precisa saber o que está protegendo e como tomará decisões. O contexto externo inclui legislação, regulação, contratos, mercado, ameaças e dependências. O contexto interno inclui objetivos, estrutura, cultura, processos, recursos, tecnologia, dados, fornecedores e tolerância a perdas.

Os critérios de risco definem como medir a relevância dos cenários. Devem ser coerentes com os objetivos e considerar, conforme o caso, confidencialidade, integridade, disponibilidade, privacidade, obrigações, continuidade, impacto financeiro, reputação, pessoas e serviços públicos.

Probabilidade e impacto são elementos centrais, mas não são os únicos dados possíveis. Valor e criticidade dos ativos, eficácia de controles, velocidade do impacto, interdependências e grau de incerteza podem influenciar a análise. A escala e as regras devem ser documentadas e aplicadas com consistência.

6. Identificação de riscos: ativos, ameaças e vulnerabilidades

Identificar um risco é formular um cenário compreensível, e não apenas listar um ativo ou uma ameaça. Um bom registro conecta a fonte ou ameaça a um evento, às condições que o tornam possível e às consequências para os objetivos. Também identifica o proprietário do risco, isto é, a pessoa com autoridade e responsabilidade para gerenciá-lo.

A edição de 2022 admite diferentes formas de construir cenários e não obriga a organização a começar sempre por um inventário de ativos. Uma abordagem baseada em eventos pode partir de situações indesejadas; uma abordagem baseada em ativos pode partir do que tem valor. Em ambos os casos, o cenário deve permitir análise, decisão e rastreabilidade.

7. Análise qualitativa, semiquantitativa e quantitativa

A ISO/IEC 27005 não determina uma única técnica. A organização escolhe o nível de detalhe compatível com a decisão, a qualidade dos dados, o custo da análise e a incerteza. O uso de números não garante precisão, e uma escala qualitativa bem definida pode ser mais útil do que uma fórmula alimentada por estimativas frágeis.

Uma matriz que cruza probabilidade e impacto é uma técnica comum, mas não é um requisito universal da norma. Fórmulas como perda anual esperada também podem ser usadas em abordagens quantitativas, porém não constituem o método oficial da ISO/IEC 27005. Em prova, desconfie de afirmações que transformem um exemplo de técnica em obrigação normativa.

8. Exemplo prático de avaliação de risco

Considere uma organização que mantém cópias de segurança com dados pessoais em armazenamento em nuvem. Uma revisão detecta que permissões excessivas podem permitir acesso externo. O cenário pode ser registrado da seguinte forma:

O exemplo não atribui um valor universal, porque “possível” e “alto” dependem dos critérios da organização. A mesma configuração pode gerar níveis distintos em contextos diferentes. Em um pequeno ambiente de testes sem dados reais, a consequência tende a ser menor; em um órgão com dados sensíveis e serviço essencial, pode ser muito maior.

9. Opções de tratamento de riscos

Depois de avaliar e priorizar, a organização seleciona uma ou mais opções de tratamento. O tratamento deve ser proporcional, viável e alinhado aos objetivos. Sua escolha considera custo, benefício, obrigações, eficácia esperada, efeitos colaterais e riscos introduzidos pelos próprios controles.

Compartilhar ou transferir não faz o risco desaparecer. Contratos, terceirização e seguros podem redistribuir consequências, mas a organização mantém responsabilidades que não podem ser simplesmente delegadas, especialmente obrigações legais, governança e acompanhamento do fornecedor.

O plano de tratamento registra ações, responsáveis, recursos, prazos, prioridades, indicadores e resultado esperado. No SGSI da ISO/IEC 27001, a seleção de controles deve ser confrontada com o Anexo A para verificar se algum controle necessário foi omitido. A justificativa de inclusão ou exclusão aparece na Declaração de Aplicabilidade.

10. Risco residual, aceitação e risco inerente

Risco residual é o risco que permanece depois do tratamento. Ele deve ser analisado e comparado com os critérios de aceitação. Se continuar acima do nível aceitável, a organização pode implementar tratamento adicional, modificar a opção escolhida, evitar a atividade ou submeter uma decisão excepcional à autoridade competente, conforme sua governança.

Risco inerente costuma designar o nível existente antes de considerar controles. O termo é útil em muitas metodologias, mas a banca pode tentar transformá-lo em sinônimo de risco residual. Eles ocupam momentos diferentes: o inerente representa a exposição inicial; o residual é o que sobra após controles ou tratamento.

11. Monitoramento, comunicação e melhoria contínua

Riscos mudam. Uma avaliação válida hoje pode perder valor quando surge nova vulnerabilidade, muda o processo, entra um fornecedor, ocorre um incidente ou se altera uma obrigação legal. Por isso, monitoramento e revisão verificam premissas, indicadores, eficácia de controles, risco residual, mudanças de contexto e desempenho do processo.

Comunicação e consulta aproximam proprietários de riscos, equipes técnicas, gestores, jurídico, auditoria, continuidade, privacidade e outras partes interessadas. Registro e relato preservam evidências sobre critérios, fontes, incertezas, decisões e aprovações. Essa documentação melhora a governança, a prestação de contas e a repetibilidade das análises.

A melhoria contínua usa incidentes, testes, auditorias, métricas e mudanças para aperfeiçoar critérios e tratamentos. A gestão de riscos não deve ser um relatório anual isolado. Ela precisa participar de projetos, aquisições, mudanças, gestão de fornecedores, resposta a incidentes e planejamento de continuidade.

12. Aplicação em organizações pequenas

Uma pequena empresa não precisa começar com software complexo. Pode delimitar os serviços essenciais, definir escalas simples, reunir responsáveis, registrar cenários prioritários em uma planilha e revisar o resultado periodicamente. O rigor está na coerência das decisões, não na quantidade de documentos.

1. Escolha o escopo: comece por um serviço crítico, como vendas, folha de pagamento ou atendimento ao cidadão.

2. Defina critérios simples: use descrições claras de probabilidade e consequência, com níveis de aceitação e responsáveis.

3. Liste cenários relevantes: inclua indisponibilidade, acesso indevido, fraude, ransomware, erro humano e falha de fornecedor.

4. Priorize e trate: selecione ações viáveis, prazos e responsáveis, sem confundir urgência com ausência de análise.

5. Revise: acompanhe controles e reavalie após mudanças, incidentes ou em periodicidade definida.

Esse processo enxuto pode apoiar continuidade de negócios, proteção de dados, decisões de contratação e requisitos de clientes. À medida que a organização amadurece, técnicas, métricas e ferramentas podem ser ampliadas sem abandonar os critérios e a rastreabilidade.

13. Como a ISO 27005 aparece em concursos públicos

A ISO/IEC 27005 aparece em editais de Segurança da Informação, governança, gestão de riscos, auditoria e continuidade. A cobrança pode ser literal, conceitual ou baseada em cenários. As bancas exploram a ordem das atividades, a relação entre normas, a diferença entre ameaça e vulnerabilidade e as opções de tratamento.

13.1. Etapas mais frequentes e pegadinhas

As etapas mais cobradas são o estabelecimento do contexto, a identificação, a análise, a avaliação, o tratamento, a aceitação, a comunicação e o monitoramento. Memorize especialmente o agrupamento da avaliação de riscos e a distinção entre avaliar, tratar e aceitar.

13.2. Revisão em 60 segundos

Conclusão

A ISO/IEC 27005:2022 transforma incertezas de segurança da informação em um processo estruturado de decisão. Ela orienta a definição do contexto, a identificação de cenários, a análise, a comparação com critérios, o tratamento e o acompanhamento dos riscos. O processo permanece útil tanto em um SGSI formal quanto em uma pequena organização que precisa priorizar ações com recursos limitados.

Para concursos, concentre-se na relação entre as normas, nas três atividades que compõem a avaliação de riscos, nas opções de tratamento e no conceito de risco residual. As pegadinhas trocam a ordem das etapas, confundem ameaça e vulnerabilidade ou atribuem certificação e método obrigatório à norma.

FAQ sobre a ISO 27005

1. O que é a ISO 27005?

É a norma internacional que orienta a gestão de riscos de segurança da informação e apoia a implantação e a melhoria de um SGSI baseado na ISO/IEC 27001.

2. Qual é a diferença entre a ISO 27005 e a ISO 31000?

A ISO 31000 trata da gestão de riscos em qualquer domínio; a ISO/IEC 27005 adapta seus princípios e processo ao contexto da segurança da informação.

3. Quais são os critérios utilizados para avaliar um risco?

Normalmente consideram probabilidade, consequência, nível do risco e critérios de prioridade e aceitação, além do contexto, dos controles e das obrigações aplicáveis.

4. Quais são as opções de tratamento de riscos previstas na ISO 27005?

As opções usuais são reduzir ou modificar, reter ou aceitar, compartilhar ou transferir e evitar o risco, isoladamente ou em combinação.

5. O que é risco residual no contexto da ISO 27005?

É o risco que permanece após o tratamento. Ele deve ser reavaliado, comparado com os critérios de aceitação e monitorado.

6. Como a ISO 27005 é cobrada em questões de concursos públicos?

Aparece em itens conceituais e cenários sobre processo, critérios, relação com outras normas, elementos do risco, tratamento, aceitação e monitoramento.

7. Quais etapas da gestão de riscos da ISO 27005 são mais frequentes em provas de concursos?

Contexto, identificação, análise, avaliação, tratamento, aceitação, comunicação e monitoramento; é essencial lembrar que as três primeiras atividades centrais formam a avaliação de riscos.

8. Quais são as principais pegadinhas sobre a ISO 27005 em provas de Segurança da Informação?

Confundir ameaça com vulnerabilidade, análise com avaliação, risco inerente com residual, transferência com eliminação e diretriz com requisito certificável.

Referências

ISO. ISO/IEC 27005:2022: Information security, cybersecurity and privacy protection: Guidance on managing information security risks. 4. ed. Geneva: ISO, 2022. Disponível em: https://www.iso.org/standard/80585.html. Acesso em: 17 out. 2026.

ISO. ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection: Information security management systems: Requirements. 3. ed. Geneva: ISO, 2022. Disponível em: https://www.iso.org/standard/27001. Acesso em: 17 out. 2026.

ISO. ISO/IEC 27002:2022: Information security, cybersecurity and privacy protection: Information security controls. 3. ed. Geneva: ISO, 2022. Disponível em: https://www.iso.org/standard/75652.html. Acesso em: 17 out. 2026.

ISO. ISO 31000:2018: Risk management: Guidelines. 2. ed. Geneva: ISO, 2018. Disponível em: https://www.iso.org/standard/31000. Acesso em: 17 out. 2026.

IEC. IEC 31010:2019: Risk management: Risk assessment techniques. 2. ed. Geneva: IEC, 2019. Disponível em: https://webstore.iec.ch/en/publication/59809. Acesso em: 17 out. 2026.

Prof. Jósis Alves

Analista de TI no Supremo Tribunal Federal

Instagram: @josisalvesprof @aprovati