O processo de mitigação de risco com base na norma 27002 está relacionado à continuidade da segurança da informação.
Seus processos são o controle, que convém que uma organização estabeleça, documente implante e mantenha processos, procedimentos e controle para assegurar o nível requerido de continuidade para a segurança da informação em caso de situações adversas.
- Uma estrutura de gerenciamento esta implementada para mitigar e responder a um evento de interrupção;
- Ter um pessoal para reportar os incidentes com a necessária responsabilidade para gerenciar um acidente;
- Planos documentados, procedimentos de recuperação e resposta desenvolvidos e aprovados, detalhando como a organização irá gerenciar um evento de interrupção e como manterá a segurança da informação em um nível pré-determinado, com base no objetivo de continuidade da segurança da informação aprovado pela direção (ver 17.1.1);
- Controle de segurança da informação dentro dos processos de recuperação de desastre ou continuidade, procedimentos e ferramentas e sistema de suporte;
- Procedimentos para manter os controles de segurança da informação em uma situação adversa;
O contexto da continuidade de negócio ou da recuperação de desastre permite a análise das vulnerabilidades é potenciais ameaças. Esse processo permite identificar as prováveis consequências, ou risco associados que permitirá a organização estabelece uma série de passos para prover a segurança da informação que seja de custo-efetivo, tudo que representar valor para o negócio será conduzido o processo de mitigação.
O processo de mitigação visa o controle compensatório para controle da segurança da informação que não possa ser mantido em uma situação adversa
Este processo trata da priorização, implementação e manutenção das medidas adequadas da redução de riscos, com base na redução de riscos e tratamento dos desastres que podem ser ocasionados pelos riscos. Assim é possível assumir, evitar, reduzir ou transferir os riscos.
