Com relação à NBR 27005, assinale a opção correta, no que se refere à gestão de riscos de segurança da informação.