A avaliação de riscos em segurança da informação envolve identificar ameaças, vulnerabilidades e os possíveis impactos sobre os ativos de informação. Nesse contexto, assinale a alternativa que melhor descreve o objetivo principal desse processo.

Análise da Questão sobre Avaliação de Riscos em Segurança da Informação

O objetivo central da avaliação de riscos em segurança da informação é compreender a natureza dos perigos que podem afetar os ativos de uma organização para tomar decisões informadas sobre onde e como investir recursos de proteção.

Alternativa C - Estimar a probabilidade e o impacto de possíveis incidentes, permitindo priorizar ações de segurança.

Desenvolvimento

Na gestão de segurança da informação, não é possível garantir que nenhum risco exista (segurança 100% absoluta), pois isso seria tecnicamente inviável e economicamente impraticável. O processo de avaliação de riscos serve justamente para quantificar ou qualificar esses riscos.

• Probabilidade: Com que frequência um evento indesejado pode ocorrer?
• Impacto: Se o evento ocorrer, quanto dano ele causará aos ativos?

Ao combinar esses dois fatores, a organização consegue criar uma matriz de riscos. Isso permite priorizar: focar primeiro nos riscos que são mais prováveis e que causam maiores danos, em vez de tentar proteger tudo igualmente (o que diluiria os recursos).

## Análise das Alternativas

Conclusão

A alternativa correta é a C, pois resume o propósito fundamental da avaliação de riscos: fornecer dados sobre probabilidade e impacto para guiar a tomada de decisão e a alocação de recursos de segurança de forma estratégica.