GAB: ERRADO

Pegadinha de "quem faz o quê". Pela ISO/IEC 27001, quem aprova o plano de tratamento e aceita os riscos residuais são os proprietários dos riscos (risk owners), e não a alta direção.

ISO/IEC 27001, item 6.1.3, alínea f (tratamento de riscos):

A organização deve "obter a aprovação dos proprietários dos riscos do plano de tratamento de riscos de segurança da informação e a aceitação dos riscos residuais de segurança da informação".

Quem é o proprietário do risco? É a pessoa ou entidade com responsabilidade e autoridade pra gerenciar aquele risco (ISO 27000). Geralmente é o gestor da área ou do processo afetado, quem conhece o negócio e responde pelas consequências.

E o papel da alta direção? Ela aparece no item 5 (Liderança): demonstrar comprometimento com o SGSI, estabelecer a política de segurança, garantir recursos, atribuir papéis e responsabilidades e promover a melhoria contínua. Ela patrocina o sistema, mas a norma não exige que ela aprove cada plano de tratamento nem aceite cada risco residual.

Processo de tratamento (6.1.3), resumido:

a) escolher as opções de tratamento (modificar, evitar, compartilhar, reter);

b) determinar os controles necessários;

c) comparar com os controles do Anexo A;

d) elaborar a Declaração de Aplicabilidade (SoA);

e) formular o plano de tratamento;

f) obter a aprovação dos proprietários dos riscos e a aceitação dos riscos residuais.

Macete: risco tem dono: quem aprova o tratamento e aceita o residual é o proprietário do risco. A alta direção lidera o SGSI e define a política.

Fala galera dos estudos! Passando rápido pra compartilhar um projeto que nasceu da própria necessidade. Como também enfrento a rotina pesada de conciliar edital, trabalho e contas, percebi que faltava uma ferramenta simples que organizasse a vida pessoal e profissional sem tomar tempo. Desenvolvi o Cortex pra ser essa central: você coloca suas tarefas do dia, controla as finanças e alinha a agenda em segundos. O resultado é parar de pular de aplicativo em aplicativo e ter clareza total da semana. Deixei o teste de 7 dias 100 por cento gratuito pra vocês experimentarem à vontade. Confere lá e me diz o que achou: cortexmenteconectada.com.br