Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
RSK-04 · Risco e Decisões
Apetite e indicadores
O apetite a risco é declarado em termos que alguém consegue medir, com indicadores e limites que acionam medidas.
2frameworks o tratam integralmente
3parcialmente
3o deixam de fora
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Lei de IA da UE NIST AI RMF
1Onde cada framework o exige
- SOC 2ParcialCC3.1 Objetivos e tolerâncias são exigidos; a linguagem de apetite, não.
- ISO 27001Parcial6.1.2(a) Critérios de risco, incluindo critérios de aceitação.
- NIST CSFCompletoGV.RM-02
- PCI DSSAusente Norma prescritiva; sem conceito de apetite.
- HIPAAAusente Não há conceito de apetite na Security Rule.
- GDPRAusente O risco é avaliado em relação aos direitos dos indivíduos, não em relação a um apetite organizacional.
- Lei de IA da UEParcialArt. 9(5) O risco residual deve ser considerado aceitável.
- NIST AI RMFCompletoGOVERN 1.3
Construa o controle uma vez em relação a este objetivo e cite a cláusula sobre a qual cada auditor perguntar. Um mapeamento parcial diz o que o framework deixa de fora; uma ausência é uma constatação sobre o framework, não uma lacuna no seu programa.
2O que normalmente o comprova
Declaração de apetite, definições de KRI, registros de violação de limites.
?Por que existe
Um apetite que não pode ser medido não pode ser excedido, então nunca é discutido.
Para uma organização menorTrês indicadores que a liderança realmente acompanha.