A ISO 27001 (2013) é a norma que define requisitos para a gestão da segurança da informação, sendo que o tratamento de riscos possui um grande destaque. Uma decisão de tratamento de risco dever ser tomada para cada risco identificados após sua avaliação. Avalie se são possíveis controles para o tratamento de riscos dispostos na ISO 27001:

I. mitigar de forma consciente e objetiva os riscos considerados mais baixos, desde que satisfaçam claramente a política de custos e os critérios de aceitação de risco da organização;
II. evitar riscos, não permitindo ações que possam causar sua ocorrência;
III. aplicar os controles adequados para reduzir os riscos, transferir os riscos associados a outras partes, por exemplo, para seguradoras ou fornecedores.

Está correto o que se afirma em