Uma organização pública de grande porte, após sofrer um incidente de segurança que comprometeu a disponibilidade de um serviço crítico por 48 horas, decidiu revisar seus processos de gestão de riscos e continuidade de serviços de TI. A equipe de governança de TI propôs as seguintes ações:

• I. Realizar análise de vulnerabilidades trimestralmente, priorizando a correção de falhas com base exclusivamente no CVSS (Common Vulnerability Scoring System), desconsiderando o contexto do ativo.
• II. Estabelecer um plano de continuidade de serviços de TI que contemple a identificação de processos críticos, a definição de RTO (Recovery Time Objective) e RPO (Recovery Point Objective), e a realização de testes periódicos de recuperação.
• III. Implantar um processo de gestão de patches que inclua a avaliação de riscos antes da aplicação, a priorização baseada na criticidade do ativo e a realização de testes em ambiente controlado.
• IV. Utilizar exclusivamente a análise quantitativa de riscos, pois ela fornece valores monetários precisos e elimina a subjetividade inerente à análise qualitativa.

Considerando as boas práticas preconizadas pela ABNT NBR ISO/IEC 27005, pela ABNT NBR ISO/IEC 22301 e pelo ITIL 4, assinale a alternativa que apresenta as ações adequadas para o fortalecimento da gestão de riscos, vulnerabilidades, patches, incidentes e continuidade de serviços de TI.