Tratamento de riscos.

Decisão e ações para modificar um risco, normalmente aceitando-o, mitigando-o, transferindo-o ou evitando-o, com base nos critérios de risco da organização. Pertence à categoria Conformidade e frameworks da cibersegurança.

Decisão e ações para modificar um risco, normalmente aceitando-o, mitigando-o, transferindo-o ou evitando-o, com base nos critérios de risco da organização.

O tratamento de riscos é o passo do ciclo de gestão em que cada risco avaliado recebe uma resposta. As opções clássicas são: aceitar (conviver com o risco residual), mitigar (aplicar controlos para reduzir probabilidade ou impacto), transferir (seguros, cláusulas contratuais, outsourcing) ou evitar (parar ou redesenhar a atividade). Os planos de tratamento definem responsáveis, custos, prazos, risco residual alvo e controlos retirados de referenciais como o Anexo A da ISO/IEC 27001 ou da NIST SP 800-53. O plano é acompanhado no registo de riscos e revisto quando os controlos falham, as ameaças mudam ou os objetivos de negócio evoluem. Um tratamento eficaz é proporcional ao risco e alinhado com apetite e tolerância.

As defesas contra Tratamento de riscos costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Resposta ao risco, Plano de mitigação.