Fluxo de trabalho da Avaliação avançada de riscos

Para usar a Avaliação avançada de riscos, você deve configurar a metodologia de avaliação de risco (RAM), definir o escopo da avaliação e realizar a avaliação.

Antes de usar a Avaliação de risco avançada, diferentes usuários devem executar tarefas de configuração diferentes. Essas etapas definem o fluxo de trabalho da avaliação.

1. Configure a metodologia de avaliação de risco (RAM): Um administrador de risco com a função sn_risk.admin configura o sistema. O administrador faz o seguinte:
   • Identificação: Identifica se um risco ou um objeto está sendo avaliado.
   • Avaliação: Determina como avaliar o problema, como critérios de avaliação, pontuação de risco ou preferências de emissão de relatórios.
   Para obter mais informações, consulte Configure uma metodologia de avaliação de risco.
2. Defina o escopo da avaliação de risco: Depois que a RAM é definida, o proprietário da entidade define e identifica o seguinte:
   • Os riscos relevantes para a entidade.
   • Os avaliadores e aprovadores dessas avaliações.
   • Periodicidade dessas avaliações de risco.
   Para mais informações, confira Crie um escopo de avaliação de risco e inicie avaliações ou ../../grc-workspace-risk/task/create-risk-asses-scope-workspace.html.
3. Executar avaliação de risco: O avaliador de risco com o sn_grc. a função business_user executa as seguintes tarefas de avaliação.
   • Avalia os riscos inerentes e a eficácia dos controles de mitigação​.
   • Revisa o risco residual e define o plano de tratamento de risco.
   • ​Aciona o fluxo de trabalho de revisão e aprovação.
   Para obter mais informações, consulte Executar avaliação de risco avançada no Espaço de trabalho de risco.
4. Monitorar as avaliações: Depois que a avaliação de risco é aprovada, a avaliação passa para o estado Monitor. Os riscos avaliados na avaliação de risco devem ser monitorados especialmente se contiver fatores automatizados. Fatores automatizados ou perguntas que buscam dados automaticamente de qualquer uma das fontes de dados têm classificações de risco em constante evolução. Portanto, um risco que pode ter uma classificação baixa no momento pode ter uma classificação mais alta posteriormente. Isso torna imperativo monitorar uma avaliação concluída para reduzir as ameaças à sua organização.