Um auditor interno de uma Secretaria da Fazenda está conduzindo uma avaliação de riscos de segurança da informação nos sistemas críticos de arrecadação. Para priorizar os esforços de tratamento e alocar recursos de forma eficiente, ele decide utilizar uma Matriz de Risco, que combina os níveis de probabilidade (Baixa, Média, Alta) e impacto (Baixo, Médio, Alto, Critico) para determinar a magnitude do risco. Em sua analise, ele identificou dois riscos específicos:

- Risco A: Possibilidade de um funcionário, por descuido, enviar um arquivo contendo dados fiscais sigilosos por e-mail pessoal. O auditor estima que a probabilidade de isso ocorrer é alta, mas, considerando os controles atuais de monitoramento de rede e DLP, o impacto financeiro e reputacional seria Baixo se detectado rapidamente.
- Risco B: Possibilidade de um ataque de ransomware direcionado a explorar uma vulnerabilidade não corrigida no servidor principal do sistema de impostos. A probabilidade é estimada como média, mas o impacto seria critico.

Com base na metodologia de matriz de risco, a ação de tratamento prioritaria que o auditor deve recomendar com base na analise dos Riscos A e B é: