Classificação de Riscos − Priorização de Riscos − Encaminhamento de Riscos.

Identificação de Riscos − Estimativa de Riscos − Avaliação de Riscos.

Reter o Risco − Evitar o Risco − Transferir o Risco.

Identificação do Risco − Análise de Vunerabilidade − Definição de Ações de Mitigação do Risco.

Classificar o Risco − Priorizar o Risco − Mitigar o Risco.

A descrição dos requisitos de negócio, legais e regulatórios.

As descrições das ameaças identificadas.

Objetivos de controle e controles que satisfaçam o processo de tratamento de risco.

Aprovação dos gestores e da direção da organização para implementação do sistema de gestão de segurança da informação.

O escopo e os limites do sistema de gestão de segurança da informação.

I, II e III.

II e III, apenas.

I, apenas.

I e III, apenas.

II, apenas.

definição das ações de contingência a serem tomadas caso os eventos correspondentes aos riscos se concretizem, bem como definição dos responsáveis pelas ações de prevenção dos riscos e dos procedimentos de contingência.

elaboração de um plano de contingência que inclua o teste da eficácia do mesmo, em que esteja prevista a simulação de um desastre quando deverão ser executados os procedimentos elaborados e realmente utilizados os recursos de forma a esgotar todas as possibilidades de possíveis eventos.

mensuração das probabilidades de ocorrência e dos danos potenciais relacionados a cada risco identificado.

definição das ações previstas a serem tomadas para reduzir ou eliminar as chances de ocorrência dos eventos relacionados a cada risco.

identificação dos principais riscos que possam comprometer o sucesso dos processos de contratação e de gestão contratual e que possam fazer com que a Solução de Tecnologia da Informação não alcance os resultados que atendam às necessidades da contratação.

I-Aceitar; II-Mitigar; III-Explorar.

I-Compartilhar; II-Remover; III-Transferir.

I-Explorar; II-Mitigar; III-Eliminar.

I-Compartilhar; II-Transferir; III-Melhorar.

I-Aceitar; II-Eliminar; III-Mitigar.

o escopo de uma análise/avaliação de riscos deve ser, obrigatoriamente, toda a organização, pois essa é a única forma de garantir a segurança de forma integral.

o processo de avaliar os riscos de segurança da informação e selecionar os controles deve ser realizado apenas uma vez, preferencialmente antes da implantação de qualquer sistema, de forma antecipada, para que se possam evitar situações inesperadas.

as análises/avaliações de riscos são muito peculiares e específicas, por isso não podem ser realizadas de forma metódica nem são capazes de gerar resultados que podem ser comparados ou reproduzidos.

convém que a análise/avaliação de riscos de segurança da informação tenha um escopo claramente definido para ser eficaz e que inclua relacionamentos com as análises/avaliações de riscos em outras áreas, se necessário.

convém que as análises/avaliações de riscos identifiquem, quantifiquem e priorizem os riscos com base em critérios para a aceitação dos riscos e dos objetivos relevantes não apenas para a organização e sim para toda a comunidade de atuação e seu mercado.

mudança de gerência.

mudança de requisitos.

rotatividade de pessoal.

baixa concorrência do produto.

indisponibilidade de hardware.

eliminar todos os riscos identificados e prover 100% de segurança.

eliminar alguns riscos identificados e prover entre 60% e 80% de segurança.

eliminar alguns riscos identificados e prover, no máximo, 50% de segurança.

reduzir os riscos identificados a um nível aceitável.

impedir todo e qualquer acesso ao ativo.

qualitativa de riscos.

quantitativa de riscos.

de valor monetário esperado.

de desempenho das aquisições.

de modos e efeitos de falha.

Problemas financeiros forçam reduções no orçamento do projeto.

O banco de dados usado no sistema não pode processar tantas transações por segundo, quanto o esperado.

Os componentes de software reusáveis contêm defeitos que significam que eles não podem ser reusados como o planejado.

As ferramentas de software não podem trabalhar juntas de forma integrada.

Os clientes não conseguem compreender o impacto das mudanças nos requisitos.

Pode-se responder ao risco de cinco formas diferentes: evitando, transferindo, reduzindo, aceitando e ignorando.

As ameaças precisam ser definidas quanto ao grau de exposição que apresentam para o ativo em questão. Quando se define o grau da ameaça, deseja-se determinar o quanto existe daquela ameaça, independente do ativo ao qual se está referindo para aquela ameaça.

Além de avaliar as ameaças e vulnerabilidades, é importante chegar a um indicador de impacto, ou seja, do prejuízo estimado para um incidente de segurança da informação envolvendo um determinado ativo de um determinado processo de negócio.

A avaliação do risco propriamente dita nada mais é do que comparar a estimativa de risco contra os critérios de risco para determinar os níveis de riscos de incidentes de segurança da informação. Normalmente, quanto maior o impacto e a probabilidade, maior será o risco.

A análise de risco é a parte principal do sistema de gestão da segurança da informação, pois sem essa análise seria praticamente impossível determinar o conjunto adequado de medidas de segurança e garantir qualquer nível de sinergia nas ações tomadas.

a identificação de consequências.

a definição e mensuração da efetividade de controles.

a detecção de erros no resultado de processamento de informações.

o contato com autoridades.

os acordos de confidencialidade.

clientes, fornecedores e questões legais.

escopo, prazos e recursos.

recursos humanos, prazos e agências governamentais.

recursos financeiros, fornecedores e questões ambientais.

questões regulatórias, escopo e fornecedores.

elaborar os planos de contingência, cujo objetivo é obter um controle preciso dos riscos presentes.

minimizar os problemas que possam surgir, eventualmente, em função dos riscos existentes.

registrar todas as ações tomadas no decorrer da concretização de um risco de forma a evitar problemas semelhantes no futuro.

detectar os perigos potenciais que possam vir a prejudicar as operações da empresa, como, a execução de um projeto de TI.

elaborar as medidas mais adequadas a serem tomadas quando da concretização de um risco, dentro do plano de contingência.

Convém que a análise/avaliação de riscos considere apenas os recursos de processamento das informações, e inclua os resultados específicos da segurança da informação. Os processos de negócio não são relevantes nesse contexto.

Os resultados da análise/avaliação de riscos ajudarão a direcionar e a determinar as ações gerenciais apropriadas e as prioridades para o gerenciamento dos riscos da segurança da informação, e para a implementação dos controles selecionados para a proteção contra estes riscos.

A análise/avaliação de riscos deve contemplar todos os riscos internos e externos que podem afetar a continuidade do negócio, porém, não deve ser repetida periodicamente.

Uma vez que os riscos tenham sido identificados e as decisões para o tratamento dos riscos tenham sido tomadas, é necessário que controles sejam implementados para assegurar que todos os riscos sejam eliminados, ou seja, reduzidos zero.

A seleção de controles de segurança da informação depende exclusivamente das decisões da organização, baseadas nos critérios para aceitação de risco. Nesse contexto, as legislações e regulamentações nacionais são irrelevantes.

identificação, catalogação e acompanhamento.

identificação, análise e monitoração de riscos.

estratégias de prevenção, estratégias de minimização e planos de contingência.

mapeamento, testes e solução.

métodos de prevenção, monitoração e solução.