Modelo de plano de tratamento de riscos ISO 27001

O que a norma exige

---

O que o referencial ISO 27001 exige e o que fica ao seu critério

Com os riscos avaliados, a norma pede que se escolham opções de tratamento, se determinem os controlos necessários, se formule um plano e se obtenha dos proprietários a aprovação do plano e a aceitação do risco residual.

O plano não é a declaração de aplicabilidade: a SoA diz que controlos existem e porquê; o plano diz o que se faz, quem e quando para chegar a esse estado. Ambos se alimentam da mesma análise.

A execução do plano acompanha-se no capítulo 8: é preciso implementá-lo e conservar os seus resultados, de forma que na auditoria se veja o que foi feito, o que está pendente e porquê.

Estrutura

---

Campos que o modelo deve ter

• Risco tratado e nível antes do tratamento
• Opção de tratamento: mitigar, evitar, transferir ou aceitar
• Controlos ou ações previstos (com a referência ao Anexo A, se existir)
• Responsável e data prevista
• Recursos necessários
• Nível de risco residual esperado
• Aprovação do proprietário e aceitação do risco residual
• Estado e data de encerramento

Na auditoria

---

Erros que os auditores costumam apontar

• O plano não tem datas nem responsáveis: é uma lista de boas intenções.
• Não consta a aceitação do risco residual pelo proprietário.
• Riscos «transferidos» para um seguro ou um fornecedor sem verificar o que o contrato cobre.
• Ações encerradas no plano que não se refletem na declaração de aplicabilidade.

No Kimobox

---

Como se gere este registo no Kimobox

1. 1Cada ação do plano é atribuída a um responsável com data, e o sistema avisa se houver atraso.
2. 2O tratamento fica registado junto do risco e do seu proprietário, com a respetiva aprovação.
3. 3A revisão pela gestão parte de um modelo com os incidentes de segurança e os riscos já agregados.

Perguntas frequentes

---

O que nos perguntam antes de começar