Fórum de discussão

O exemplo dado ( Questão sobre o apagamento do incêndio com o extintor) não seria uma medida de redução, ao invés de aceitação do risco? Pergunto isso com base na norma NBR ISO/IEC 27005:2008 pág.20 item 9.3 Retenção do risco que diz que as decisões sobre a retenção do risco, sem outras opções adicionais, sejam tomadas tendo como base a avaliação de riscos. O slide dá a entender que o extintor estava sendo usado como um controle de segurança( estava sendo colocado num ambiente).

No aguardo pela resposta.

um conceito é medida de segurança, outro conceito é estratégia para lidar com riscos.

Uso de extintor de incendio é uma medida de segurança REPRESSIVA.

Aceitar riscos é uma estratégia para lidar com riscos.

Na estratégia aceitação de riscos se conhece todas as medidas de segurança, mas nem todas as medidas são aplicadas porque o custo delas é muito alto para o retorno possível ou porque não existem medidas adequadas para evitar completamente o risco. Na aceitação do risco a organização irá suportar/aguentar o risco, se o risco ocorrer, se usa normalmente uma medida repressiva para minimizar o impacto do risco, minimizar o dano. Veja no slide 20 do módulo 3 que na Estratégia Suportar/Aceitar riscos são usados medidas repressivas.

Logo, o uso do extintor de incendio é uma medida de segurança repressiva e pode ser usado como medida na estratégia Aceitação de Riscos.

O cenário analisado é suficiente para o nível risco aceito é não serão adotados novos controles.O cenário analisado não é suficiente para o nível risco aceito mas, por conta de restrições identificadas, controles adicionais não podem ser implementados. Quaisquer adições de controles que sejam feitas descaracterizam a estratégia como sendo de aceitação para passar a ser de redução de risco.

Pela leitura do slide não fica claro se o controle repressivo do extintor estava ou não implementado no cenário analisado.

Considerando que o cenário analisado já possui um controle de extintor de incêndio, ai sim entendo que vale a estratégia de aceitação, pois no momento da análise, o controle já foi considerado e foi decidido por não inserir controle adicional, mantendo-se apenas o extintor.

Gostaria de salientar que meus comentários são feitos com base nos itens da ISO 27005.