Com base na norma ISO/IEC 27001:2022, julgue os itens a seguir.

I As organizações devem estabelecer e manter critérios de risco de segurança da informação que incluam critérios de aceitação de risco.

II As organizações, qualquer que seja seu tamanho, devem utilizar um processo de avaliação de risco.

III O processo de identificar os proprietários de um risco deve ser separado do processo de avaliação de risco, com a finalidade de simplificar o entendimento do risco.

Assinale a opção correta.