Tratamento de riscos é a etapa da gestão de riscos em que se decide o que fazer com cada risco avaliado: mitigá-lo com controles, evitá-lo eliminando a atividade, transferi-lo, por exemplo com um seguro cibernético, ou aceitá-lo. A ISO 27001 exige documentar essas decisões em um plano de tratamento de riscos. O apetite ao risco define o nível aceitável; o tratamento decide sobre cada risco.
Como a TecnetOne resolve isso: TecnetGRC
tratamento de riscos, plano de tratamento de riscos, opções de tratamento de riscos, mitigação de riscos, risk treatment
Termos relacionados
ISO 42001 (gestão de IA)
A ISO/IEC 42001:2023 é a norma internacional que define os requisitos de um sistema de gestão de inteligência artificial (IA): políticas, avaliação de riscos e impactos, controles e melhoria contínua para desenvolver, oferecer ou usar IA de forma responsável. É certificável, segue a estrutura de alto nível da ISO 27001 e se integra a um sistema de gestão de segurança já existente.
Auditoria interna e externa (ISO 27001)
Auditoria interna ISO 27001 é a revisão que uma organização faz do seu SGSI (sistema de gestão de segurança da informação), com equipe própria ou terceiro independente da área auditada, para verificar se cumpre a norma, como exige a cláusula 9.2. A externa é feita por um organismo certificador para conceder ou manter a certificação. Ambas avaliam o sistema de gestão, não apenas controles.
Maturidade em segurança da informação
Maturidade em segurança da informação é o grau em que as práticas de segurança de uma organização estão estabelecidas, documentadas e em melhoria contínua, medido por um modelo de maturidade em níveis que vão de processos informais a processos medidos e otimizados. Uma avaliação de maturidade mostra onde a empresa está, compara com um framework de referência e ajuda a priorizar o próximo passo.
Declaração de aplicabilidade (SoA)
A declaração de aplicabilidade (SoA, Statement of Applicability) é o documento obrigatório da ISO/IEC 27001 que lista os controles do Anexo A, indica quais a organização aplica e justifica a inclusão ou exclusão de cada um. É um dos primeiros documentos que o auditor de certificação revisa, porque liga a avaliação de riscos aos controles efetivamente implementados.
CISO virtual (vCISO)
Um CISO virtual (vCISO) é um serviço em que um especialista externo assume as funções de diretor de segurança da informação (CISO, Chief Information Security Officer) por hora ou assinatura: estratégia, políticas, gestão de riscos e reporte à diretoria. É frequente em empresas de médio porte que precisam dessa liderança para uma auditoria ou exigência de cliente, mas não justificam uma contratação em tempo integral.
Quer levar o conceito para a sua operação?
Conte o que você precisa e um engenheiro da TecnetOne responde.
Falar com um engenheiroFalar com um engenheiro
Conte o que você precisa e respondemos em português.