Modelo para Avaliar o Nível de Maturidade do Processo de Gestão de Riscos em Segurança da Informação - Mayer, Janice; Fagundes, Leonardo Lemes (Anais do Simpósio Brasileiro de Sistemas de Informação (SBSI), 2010)
O processo de Gestão de Riscos (GR) compreende atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos, isso inclui a definição de contexto, análise, avaliação, tratamento, aceitação, comunicação e monitoramento dos riscos de segurança da informação. As organizações precisam implementar GR de forma consistente e sistemática, para buscar conformidades com leis, normas e regulamentações vigentes, bem como atender a requisitos obrigatórios para certificação de um Sistema de Gestão de Segurança da Informação. No entanto, não se identificou na literatura um modelo para avaliação do nível de maturidade desse processo no contexto de segurança da informação. Para contornar este problema neste trabalho descreve-se a estrutura de um modelo para avaliar o nível de maturidade do processo de GR em Segurança da Informação. O modelo desenvolvido consiste basicamente de um conjunto de boas práticas, totalmente alinhado a norma ISO/IEC 27005 e constituído por: (1) três estágios; (2) cinco níveis de maturidade; (3) quarenta e três objetivos de controles; (4) mapa de controles; (5) perspectiva de avaliação; (6) RACI Chart; (7) risk scorecard e, ainda, (8) instrumento de avaliação.