A gestão de riscos em auditoria de segurança da informação é um processo fundamental para identificar, avaliar e controlar ameaças potenciais aos ativos de informação de uma organização. Esse processo envolve a análise de vulnerabilidades, a avaliação da probabilidade e do impacto de possíveis incidentes de segurança, e a implementação de controles adequados para mitigar os riscos. Qual é o primeiro passo no processo de gestão de riscos em auditoria de segurança da informação?

Em gestão de riscos (inclusive em auditoria de segurança da informação), o processo começa pela identificação do que será protegido, pois não é possível avaliar ameaças, vulnerabilidades, probabilidade, impacto ou definir controles sem antes saber quais são os ativos de informação relevantes (dados, sistemas, processos, infraestrutura, pessoas e serviços).

Fluxo típico (visão geral):

1. Identificar ativos e seu valor/importância.
2. Identificar ameaças e vulnerabilidades associadas.
3. Estimar probabilidade e impacto (analisar/avaliar riscos).
4. Selecionar e implementar controles.
5. Monitorar e revisar continuamente.

Portanto, o primeiro passo é identificar os ativos de informação.

Alternativa correta: (C).