ISO 27005 - Gestão de Riscos

ISO 27005 - Gestão de Riscos

1. CIclo PDCA

   • PLAN
     • Definição do contexto
       • Entrada
         • Todas as informações sobre a organização relevantes para a definição do contexto
       • Ação
         • Definição dos critérios básicos
           • Critérios para avaliação de riscos
           • Critérios de impacto
           • Critérios para aceitação de riscos
         • Definição do escopo e dos limites
           • Escopo precisa ser definido para assegurar que todos os ativos relevantes sejam considerados na análise/avaliação de riscos
           • Limites precisam ser identificados para permitir o reconhecimento dos riscos que possam transpor limites
         • Estabelecimento de uma organização para operar a gestão de riscos
           • Responsabilidades e papéis dessa organização
             • Desenvolvimento do processo
             • Identificação e análise das partes interessadas
             • Definição dos papéis e responsabilidades de todas as partes
             • Definição de alçadas para tomada de decisões
             • Especificação dos registros a serem mantidos
       • Diretrizes
         • Determinar o propósito da gestão de riscos
       • Saída
         • Especificação dos critérios básicos
         • Escopo e os limites
         • Organização responsável pelo processo
     • Processo de Avaliação de riscos
       • Entrada
         • Saída produzida na definição de contexto
           • Critérios básicos
           • Escopo e limites
           • Organização responsável
       • Ação
         • Identificar
           • Ativos
           • Ameaças
           • Controles existentes
             • Mecanismos que já tratam os riscos da organização
           • Vulnerabilidades
           • Consequências
         • Analisar
           • Análise Quantitativa
             • Escala valores numéricos
           • Análise Qualitativa
             • Escala com qualificadores
           • Devem ser avaliadas as consequências dos riscos e a probabilidade de incidentes ocorrerem
           • Criação de uma lista com os cenários de incidentes possíveis, probabilidades e consequências
         • Avaliar (Priorizar)
           • Recebe a lista de riscos estabelecida
             • Compara com os critérios de avaliação
               • Produz uma lista de riscos ordenados
           • Executado frequentemente em duas ou mais iterações
             • Uma em um nível mais alto
             • Outra em um nível mais aprofundado
       • Saída
         • Lista de riscos avaliados, ordenados por prioridade
     • Definição do plano de tratamento do risco
       • Mnemônico MORE COM
         • MOdificar
           • Aplicar controles para reduzir os riscos
         • Reter
           • Aceitar os riscos, sabendo que atendem os critérios de aceitação
         • Evitar
           • Evitar riscos
         • COMpartilhar
           • Compartilhar o risco com outra entidade que possa gerenciá-lo de forma mais eficaz
       • Saída
         • Plano de tratamento do risco e os riscos residuais
     • Aceitação do risco
       • Entrada
       • Ação
         • Registrar formalmente a decisão de aceitar os riscos e a responsabilidade da decisão
       • Diretrizes
         • Convém que os planos de tratamento do risco descrevam como os riscos avaliados serão tratados para que os critérios de aceitação do risco sejam atendidos
       • Saída
         • Lista de riscos aceitos
           • Incluindo justificativa para aqueles que não satisfaçam os critérios normais para aceitação de risco
   • DO
     • Implementação do plano de tratamento do risco
   • CHECK
     • Monitoramento contínuo e análise crítica do projeto
   • ACT
     • Manter e melhorar o processo de Gestão de Riscos

2. Risco

   • Combinação das consequências advindas da ocorrência de um evento indesejado e da probabilidade da ocorrência do mesmo
     • Consequência + Probabilidade = Risco