Article 4. Gestió de riscos

Article 4. Gestió de riscos

1. La gestió de riscos és el procés integral que implica la identificació, l’avaluació i la mitigació de les amenaces cibernètiques.

2. El delegat de la seguretat de la informació és l’encarregat d’assegurar que s’efectui l’anàlisi de riscos, així com d’identificar mancances i debilitats i de posar-les en coneixement del Comitè Tècnic de Seguretat de la Informació.

3. El procés de gestió de riscos ha de complir els requeriments establerts en l’ENS-AD i les indicacions de l’ANC-AD (Agència Nacional de Ciberseguretat d’Andorra).

4. En l’anàlisi de riscos s’ha d’utilitzar una metodologia estàndard i reconeguda en l’àmbit internacional alineada amb el que exigeix l’ENS-AD.

5. L’anàlisi i gestió de riscos és una part essencial del procés de seguretat, per assegurar el manteniment d’un entorn controlat, minimitzant els riscos fins a nivells considerats acceptables per l’organització.

6. La reducció del nivell de risc es fa desplegant mesures de seguretat i privacitat que es modulen en funció de la naturalesa de les dades i els tractaments de la informació, així com de l’impacte i la probabilitat dels riscos als quals estiguin exposats, buscant un compromís entre cost i aficacia.