Nenhum sistema de segurança da informação elimina completamente os riscos. Mesmo depois da implementação de controles, determinados riscos podem permanecer. É nesse ponto que surge um conceito fundamental da ISO/IEC 27001: o risco residual.

Nenhum sistema de segurança da informação elimina completamente os riscos. Mesmo depois da implementação de controles, determinados riscos podem permanecer. É nesse ponto que surge um conceito fundamental da ISO/IEC 27001: o risco residual.

Compreender o risco residual é essencial para empresas que desejam implementar a ISO 27001 de forma consistente, pois a existência de controles não significa, necessariamente, que o risco tenha sido eliminado.

O que é risco residual na ISO 27001?

O risco residual é o risco que permanece depois que as medidas de tratamento de riscos foram implementadas.

Durante a implementação da ISO 27001, a organização identifica e avalia seus riscos de segurança da informação. A partir dessa avaliação, decide como cada risco será tratado.

O tratamento pode envolver controles tecnológicos, mudanças de processos, políticas, treinamento, medidas contratuais, gestão de fornecedores ou outras ações.

Depois da implementação dessas medidas, o risco precisa ser novamente avaliado.

O resultado dessa nova avaliação representa o risco residual.

De forma simplificada:

Risco inerente → tratamento → controles → risco residual.

O risco inerente representa a exposição antes da aplicação das medidas de tratamento. O risco residual representa aquilo que permanece depois dessas medidas.

A ISO 27001 exige risco zero?

Não.

A lógica da ISO 27001 não é eliminar todos os riscos, mas estabelecer um processo sistemático para identificar, avaliar e tratar riscos de segurança da informação.

Isso é importante porque tentar eliminar absolutamente todos os riscos pode ser economicamente inviável ou operacionalmente desnecessário.

Uma empresa pode decidir manter determinado risco quando ele estiver dentro de seus critérios de aceitação.

O ponto fundamental é que essa decisão seja consciente, fundamentada e compatível com os critérios definidos pela organização.

Risco residual e aceitação de riscos

A organização precisa estabelecer critérios para determinar quais níveis de risco são aceitáveis.

Imagine que determinado risco tenha sido classificado como alto antes do tratamento.

Após a implementação dos controles, sua probabilidade ou impacto pode ser reduzido, fazendo com que o risco passe para um nível considerado aceitável pela organização.

Isso não significa que o risco desapareceu.

Significa que a organização decidiu, com base em seus critérios, aceitar a exposição remanescente.

A aceitação de um risco deve ser tratada como uma decisão de gestão e não como uma consequência automática da implementação de um controle.

Qual é a relação entre risco residual e PTR?

O Plano de Tratamento de Riscos (PTR) estabelece as ações que serão realizadas para tratar os riscos identificados.

Depois da execução dessas ações, a organização precisa verificar o resultado alcançado.

Por exemplo:

Risco identificado: acesso não autorizado a informações confidenciais.

Risco inicial: alto.

Tratamento: implementação de controle de acesso, autenticação multifator e revisão periódica de permissões.

Resultado: redução da exposição.

Risco residual: médio.

A empresa deverá então avaliar se esse risco residual está dentro dos critérios de aceitação definidos.

Caso não esteja, poderá ser necessário implementar medidas adicionais.

Por isso, o PTR e o risco residual estão diretamente relacionados.

Risco residual e Declaração de Aplicabilidade (SoA)

O risco residual também possui relação importante com a Declaração de Aplicabilidade (SoA).

A SoA registra os controles considerados necessários pela organização e as respectivas justificativas de inclusão ou exclusão.

A seleção desses controles deve estar relacionada ao processo de tratamento de riscos e aos requisitos aplicáveis.

Por isso, uma implementação consistente deve permitir compreender a conexão entre:

risco → tratamento → controle → implementação → risco residual.

Quando essa conexão não existe, a documentação pode apresentar controles isolados sem demonstrar claramente qual problema cada controle pretende tratar.

Como avaliar o risco residual?

A metodologia depende dos critérios definidos pela organização.

Uma abordagem comum considera dois elementos:

Probabilidade × Impacto = Nível de Risco

Após a implementação dos controles, a organização realiza uma nova avaliação considerando o cenário tratado.

É importante que a metodologia seja consistente e aplicada de forma documentada.

A avaliação não deve simplesmente reduzir a classificação do risco porque um controle foi criado.

É necessário considerar se o controle realmente modifica a probabilidade, o impacto ou ambos.

Um erro comum: considerar que controle implementado significa risco eliminado

Esse é um dos problemas mais frequentes em projetos de ISO 27001.

A empresa implementa um controle e automaticamente classifica o risco como “baixo” ou “tratado”.

Mas a existência de um controle não comprova sua efetividade.

Um controle pode estar formalmente implementado e ainda apresentar falhas de execução, cobertura insuficiente ou baixa efetividade.

Por isso, a organização precisa considerar evidências da operação dos controles e avaliar se o tratamento produziu efetivamente a redução esperada.

O que acontece quando o risco residual continua alto?

Se o risco residual permanecer acima do nível considerado aceitável, a organização pode precisar adotar medidas adicionais.

Entre as possibilidades estão:

• implementar novos controles;
• fortalecer controles existentes;
• alterar processos;
• reduzir a exposição ao risco;
• compartilhar o risco mediante mecanismos apropriados;
• evitar determinada atividade;
• ou, quando permitido pelos critérios estabelecidos, formalizar sua aceitação.

A decisão precisa ser coerente com o contexto e com o apetite e critérios de risco da organização.

Por que o risco residual importa em uma auditoria ISO 27001?

Durante uma auditoria, não basta apresentar uma matriz de riscos preenchida.

A organização precisa demonstrar que possui um processo consistente de avaliação e tratamento.

Isso inclui evidenciar a metodologia utilizada, os riscos identificados, as decisões de tratamento, os controles selecionados e a situação dos riscos após o tratamento.

O auditor busca verificar se o sistema de gestão funciona de maneira coerente com os requisitos da norma e com os próprios critérios estabelecidos pela organização.

Conclusão

O risco residual na ISO 27001 representa aquilo que permanece depois da aplicação das medidas de tratamento.

Ele não representa necessariamente uma falha.

Ao contrário: reconhecer que determinados riscos permanecem e tomar decisões fundamentadas sobre eles é parte natural de uma gestão de riscos madura.

O objetivo da ISO 27001 não é criar uma organização sem riscos, mas estabelecer um sistema capaz de identificar, avaliar, tratar, monitorar e revisar continuamente os riscos de segurança da informação.

Por isso, uma implementação consistente deve conseguir responder a uma pergunta simples:

Depois de implementar nossos controles, quais riscos continuam existindo e por que estamos preparados para aceitá-los?

Essa resposta precisa estar sustentada por metodologia, documentação, evidências e decisões de gestão.

📞 (11) 97981-2035
✉️ juridico@advogadosbarbosa.com

SOLICITE SUA AVALIAÇÃO DE MATURIDADE
https://form.respondi.app/7jYlVSe7