A Os estudos quanto ao risco de segurança da informação devem contemplar métodos quantitativos de estimativa do risco, nos quais todas as ameaças sejam identificadas como eventos de origem interna, enquanto as vulnerabilidades sejam identificadas como eventos de origem externa.
B Todo evento de segurança da informação que seja identificado pela equipe de segurança deve ser enquadrado como incidente de segurança da informação.
C A classificação da informação contida em documentos deve ser realizada pelos usuários finais dos sistemas de informação que manipulam tais documentos.
D Se a política debackupe restauração definir que a soma entre o tempo máximo de interrupção tolerável para os serviços de TI da organização e o objetivo de ponto de recuperação será de menos de uma hora, então será inviável a opção decold sitio.
E A formulação de políticas de segurança da informação terá de obedecer a um ciclo formado por exatamente três fases: formulação pela alta administração, publicação e implementação.