# data[].attributes.body
Um Sistema de Gestão de Segurança da Informação (SGSI) define uma abordagem organizacional para que os dados e informações de uma empresa estejam protegidos. Isso inclui instrumentos para monitorar, analisar, implementar e estabelecer a Segurança da Informação utilizando diversas estratégias, controles, políticas e planos.

# data[].attributes.headline
Gestão de Riscos de Segurança da Informação

# data[].attributes.subject
Gestão de Riscos de Segurança da Informação

# data[].attributes.body
Os riscos à Segurança da Informação são ameaças que impedem o alcance dos objetivos de uma organização. A gestão de riscos começa com um bom planejamento de infraestrutura, serviços, políticas e metodologias.

A Gestão de Riscos de TI envolve a identificação, análise e classificação por prioridade de cada risco identificado levando em consideração o possível impacto e probabilidade de que seja explorado. Tudo o que gira em torno de TI pode contribuir para aumentar ou diminuir o risco por isso essa avaliação deve ocorrer de maneira contínua.

Deve existir um plano de resposta aos riscos que forem identificados com ações a serem tomadas para seu gerenciamento. Devem ser atribuídos papéis e responsabilidades sobre os perigos que forem detectados. Entre as possíveis ações a partir da identificação de um risco podemos citar:

Evitar: tomar ações que eliminem completamente o risco;

Mitigar: redução da probabilidade e ou do impacto da possível exploração do risco;

Transferir: envolver um terceiro que será responsabilizado pelo risco;

Aceitar: monitorar continuamente e estabelecer mecanismos de alerta e de resposta em caso de concretização.

# data[].attributes.body
Avaliação da eficiência e eficácia do sistema de gestão e apresentação de resultados. Comparação entre desenho alcançado e diretrizes definidas, valendo-se de métricas. Análise crítica de riscos, escopo e condução de auditorias internas em intervalos planejados. Atualização do plano de segurança da informação de acordo com os resultados do monitoramento e análise crítica.

# data[].attributes.body
Implementação do SGSI com operação da política de segurança, controles, medidas, processos e procedimentos. Deve conter a formulação de um plano de tratamento de riscos, implementar controles, programas de conscientização e treinamento. Além disso nessa fase deve começar o efetivo gerenciamento das operações e recursos de SGSI e a pronta detecção de eventos de SI e resposta a incidentes.

# data[].attributes.body
Executar ações corretivas e preventivas com base nos resultados de auditoria e análise crítica em busca de constante aprimoramento e ganho de eficiência. Implementação de melhorias identificadas e comunicação às partes interessadas de acordo com os objetivos pretendidos.

# data[].attributes.body
Plan

O planejamento pode ser dividido em duas etapas. Na primeira são necessárias as seguintes atividades: avaliação da situação atual da empresa diante da Segurança da Informação, análise de risco, definição dos controles que são compatíveis com o tamanho e o segmento de negócio da empresa, documentação da declaração de aplicabilidade (SOA). Já num segundo momento, as atividades necessárias são: estabelecimento de políticas, processos, departamentos e procedimentos para gestão da segurança da informação, os quais definem a abordagem e os objetivos da Segurança da Informação.

# data[].attributes.body
A norma 27001 adota o modelo PDCA (Plan-Do-Check-Act) sendo necessário portanto planejar o estabelecimento (Plan), Implementar (Do), Monitorar e melhorar (Check) e Manter (Act) o SGSI.