De acordo com a norma ISO ABNT NBR ISO/IEC 27005:2011, é correto afirmar que:

Gabarito: a) A norma ISO ABNT NBR ISO/IEC 27005:2011 trata da gestão de riscos em segurança da informação, e um dos princípios fundamentais é que o processo de identificação de ativos deve estar alinhado ao escopo definido para a gestão de riscos. Isso significa que não se deve identificar ativos fora do escopo estabelecido, garantindo foco e eficiência no processo.

A alternativa b) está incorreta porque os riscos não são estáticos; eles podem mudar com o tempo devido a diversos fatores, como mudanças tecnológicas, organizacionais ou ambientais. Portanto, a revisão dos riscos deve ser periódica e não apenas quando novos ativos forem incluídos.

A alternativa c) é incorreta porque a presença de vulnerabilidades não implica automaticamente na necessidade de controles; é necessário avaliar o risco considerando a probabilidade e o impacto para decidir sobre a mitigação.

A alternativa d) está errada porque as informações sobre riscos devem ser compartilhadas de forma adequada com todas as partes interessadas relevantes, não apenas com o tomador de decisão e a equipe técnica, para garantir transparência e eficácia na gestão.

Por fim, a alternativa e) está incorreta porque a norma permite tanto metodologias quantitativas quanto qualitativas para análise de riscos, dependendo do contexto e da disponibilidade de dados.

Portanto, a alternativa correta é a letra a).