Risco é o efeito da incerteza sobre os objetivos. Em TI, decorre da combinação entre ameaças, vulnerabilidades e o valor dos ativos expostos.

A ISO 31000 fornece os princípios gerais, enquanto a ISO/IEC 27005 detalha a aplicação à segurança da informação.

Processo de Gestão

Estabelecimento do contexto: definição de escopo, critérios de avaliação e apetite a risco.

Identificação: levantamento de eventos que podem afetar os objetivos.

Análise: estimativa de probabilidade e impacto.

Avaliação: comparação com os critérios para decidir sobre a necessidade de tratamento.

Tratamento, monitoramento e comunicação completam o ciclo, que é contínuo.

Métodos de Análise

A análise qualitativa utiliza escalas descritivas e matrizes de probabilidade versus impacto. É rápida e adequada à priorização inicial.

A análise quantitativa atribui valores monetários. Conceitos usuais incluem SLE (perda por ocorrência), ARO (frequência anual esperada) e ALE, obtido pelo produto dos dois, que orienta o quanto vale investir em controles.