Aceitação de risco

Um determinado risco é transferido para outra entidade, de

modo que possa gerenciá-lo de forma mais eficaz. Vale a pena

ressaltar que a transferência do risco pode também criar novos

riscos ou modificar os existentes e já identificados, tornando

talvez necessário um novo tratamento para isso.

5. Aceitação do risco

O processo de aceitação de riscos faz uso do plano de tratamento

e da análise/avaliação do risco residual. O processo está sujeito

à decisão dos gestores da organização, relativa à aceitação dele,

tendo-se como produto uma lista de riscos aceitos, incluindo uma

justificativa para aqueles que não satisfaçam os critérios normais

para sua aceitação.

6. Comunicação do risco de segurança da informação

Todas as informações sobre os riscos obtidas por meio

das atividades de gestão de riscos devem ser trocadas e/ou

compartilhadas entre o responsável pelas tomadas de decisão e

as demais partes interessadas (stakeholders), buscando alcançar

um consenso sobre como os riscos devem ser gerenciados. As

informações a serem trocadas incluem, basicamente, a existência,

natureza, forma, probabilidade, severidade, tratamento e

aceitabilidade dos riscos.

Sendo assim, a atividade da comunicação dos riscos possibilitará

o entendimento contínuo do processo de gestão de riscos, de

segurança da informação, da organização e dos resultados

obtidos.

7. Monitoramento e análise crítica de riscos de segurança

da informação

Esta atividade tem como objetivo monitorar e analisar todas

as informações sobre os riscos, obtidas através das atividades

de gestão de riscos, a fim de serem identificadas, o mais rápido

possível, as eventuais mudanças no contexto da organização e

manter-se uma visão geral dos riscos. Dessa forma, mantém-se

uma análise crítica e, caso seja necessário, podem ser

implementadas melhoras na implementação de segurança.