Na definição de um sistema de gestão de segurança da informação, deve-se definir o e...

Gabarito: a)

A definição de um sistema de gestão de segurança da informação (SGSI) realmente envolve a definição do escopo, da política e da abordagem para a identificação de riscos. Isso está alinhado com a norma ISO/IEC 27001, que é a referência internacional para SGSI.

O escopo delimita quais partes da organização e quais ativos serão cobertos pelo sistema de gestão. A política de segurança da informação estabelece os princípios e diretrizes que orientam a gestão da segurança. A abordagem para identificação de riscos é fundamental para entender quais ameaças e vulnerabilidades podem afetar os ativos da organização.

Além disso, a identificação e avaliação de alternativas para o tratamento dos riscos são etapas essenciais para decidir como mitigar, transferir, aceitar ou evitar os riscos identificados. Portanto, a afirmativa está correta e condiz com as melhores práticas de segurança da informação.