{"id":199309,"date":"2026-08-19T19:23:47","date_gmt":"2026-08-19T17:23:47","guid":{"rendered":"https:\/\/factorialhr.com\/blog\/?p=199309"},"modified":"2026-08-19T19:23:47","modified_gmt":"2026-08-19T17:23:47","slug":"avaliacao-de-riscos-iso-27001","status":"publish","type":"post","link":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/","title":{"rendered":"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer"},"content":{"rendered":"<p>A avalia\u00e7\u00e3o de riscos \u00e9 <strong>o ponto em que quase todos os projetos de ISO 27001 encalham<\/strong>, e tamb\u00e9m onde mais se nota se o sistema de gest\u00e3o foi montado a s\u00e9rio ou apenas no papel. Muitas organiza\u00e7\u00f5es investem semanas a preencher uma folha de c\u00e1lculo enorme, com dezenas de amea\u00e7as te\u00f3ricas e pontua\u00e7\u00f5es atribu\u00eddas a olho, e chegam \u00e0 auditoria com um documento que ningu\u00e9m usa e que n\u00e3o explica porque \u00e9 que se escolheram uns controlos e se descartaram outros.<\/p>\n<p>Neste artigo vemos <strong>o que \u00e9 a avalia\u00e7\u00e3o de riscos segundo a ISO 27001<\/strong>, porque \u00e9 que condiciona o resto do sistema, que m\u00e9todo conv\u00e9m usar e como faz\u00ea-la passo a passo.<\/p>\n<h2>O que \u00e9 a avalia\u00e7\u00e3o de riscos na ISO 27001?<\/h2>\n<p>A avalia\u00e7\u00e3o de riscos \u00e9 o processo atrav\u00e9s do qual uma organiza\u00e7\u00e3o <strong>identifica os riscos que amea\u00e7am a seguran\u00e7a da sua informa\u00e7\u00e3o<\/strong> e determina a sua probabilidade e o seu impacto. Por outras palavras: reconhecer o que pode correr mal, com que probabilidade aconteceria e que consequ\u00eancias teria para a confidencialidade, a integridade e a disponibilidade da informa\u00e7\u00e3o.<\/p>\n<p>A cl\u00e1usula 6.1.2 da <a href=\"https:\/\/factorialhr.pt\/blog\/iso-27001\/\">ISO 27001<\/a> obriga a <strong>definir um processo de avalia\u00e7\u00e3o de riscos<\/strong>, aplic\u00e1-lo de forma coerente e conservar a informa\u00e7\u00e3o documentada como evid\u00eancia. A norma n\u00e3o a apresenta como uma tarefa pontual: exige repeti-la a intervalos planeados e sempre que ocorram altera\u00e7\u00f5es relevantes na organiza\u00e7\u00e3o ou no seu contexto.<\/p>\n<p>Conv\u00e9m esclarecer tr\u00eas termos que muitas vezes se usam como sin\u00f3nimos sem o serem. A <strong>an\u00e1lise de riscos<\/strong> \u00e9 a fase em que se estimam a probabilidade e o impacto de cada risco. A <strong>avalia\u00e7\u00e3o de riscos<\/strong> \u00e9 o processo completo, que inclui essa an\u00e1lise mais a compara\u00e7\u00e3o dos resultados com os crit\u00e9rios de aceita\u00e7\u00e3o para decidir que riscos s\u00e3o priorit\u00e1rios. J\u00e1 o <strong>tratamento de riscos<\/strong> \u00e9 o passo seguinte, em que se decide o que fazer com cada um.<\/p>\n<h2>Porque \u00e9 que a avalia\u00e7\u00e3o de riscos \u00e9 o ponto de partida do SGSI?<\/h2>\n<p>A ISO 27001 \u00e9 uma norma baseada no risco. Isto significa que os controlos que uma empresa implementa n\u00e3o saem de uma lista padr\u00e3o nem de imitar a concorr\u00eancia, mas sim da <strong>sua pr\u00f3pria exposi\u00e7\u00e3o<\/strong>. Duas organiza\u00e7\u00f5es do mesmo setor podem acabar com sistemas de controlo muito diferentes, precisamente porque os seus riscos s\u00e3o diferentes.<\/p>\n<p>Essa l\u00f3gica coloca a avalia\u00e7\u00e3o na base do <a href=\"https:\/\/factorialhr.pt\/blog\/sistema-gestao-seguranca-informacao\/\">sistema de gest\u00e3o de seguran\u00e7a da informa\u00e7\u00e3o (SGSI)<\/a>. Dos seus resultados depende que controlos do Anexo A vais aplicar e quais vais justificar por escrito que descartas. Sem uma avalia\u00e7\u00e3o s\u00f3lida, essa decis\u00e3o fica sem fundamento, e o auditor deteta-o de imediato.<\/p>\n<p>H\u00e1 ainda uma depend\u00eancia pr\u00e9via a ter presente: <strong>n\u00e3o se podem avaliar riscos sobre ativos que n\u00e3o se conhecem<\/strong>.<\/p>\n<h2>Abordagem qualitativa ou quantitativa: qual escolher?<\/h2>\n<p>A ISO 27001 n\u00e3o imp\u00f5e um m\u00e9todo concreto. Exige que seja coerente, reproduz\u00edvel e que gere resultados compar\u00e1veis, mas deixa cada organiza\u00e7\u00e3o decidir como o aplica. Na pr\u00e1tica <strong>existem duas grandes abordagens<\/strong>, e a maioria combina elementos de ambas.<\/p>\n<ul>\n<li><strong>Abordagem qualitativa:<\/strong> avalia a probabilidade e o impacto em escalas descritivas (por exemplo, de 1 a 5, ou baixo\/m\u00e9dio\/alto) e cruza-os numa matriz de risco. \u00c9 r\u00e1pida de aplicar, f\u00e1cil de comunicar \u00e0 dire\u00e7\u00e3o e suficiente para a maioria das PME.<\/li>\n<li><strong>Abordagem quantitativa:<\/strong> atribui valores num\u00e9ricos e monet\u00e1rios \u00e0 probabilidade e ao impacto, apoiando-se em dados e f\u00f3rmulas. Traz mais precis\u00e3o e ajuda a justificar investimentos, mas exige um hist\u00f3rico fi\u00e1vel e mais tempo de trabalho.<\/li>\n<\/ul>\n<div class=\"factorial-banner inline-banner banner-other category-iso-27001\"\n    data-banner-id=\"192869\"\n    data-banner-type=\"other\"\n    data-category=\"ISO 27001\">\n    <div class=\"banner-content\">\n        <div class=\"banner-text\">\n                            <h4>Certifica-te em ISO 27001 em semanas<\/h4>\n            \n                            <p>A Factorial IT combina MDM, gest\u00e3o de acessos e um consultor de compliance dedicado para te levar \u00e0 certifica\u00e7\u00e3o.<\/p>\n            \n                            <a href=\"https:\/\/factorialhr.pt\/iso-27001\"\n                    class=\"factorial-cta-button not-prose freebie\" data-cta=\"other\" data-cta-position=\"inline-banner\">\n                    Saber mais                <\/a>\n                    <\/div>\n\n        <div class=\"banner-image has-image\">\n            <img decoding=\"async\" src=\"https:\/\/factorialhr.com\/wp-content\/uploads\/2026\/06\/19140148\/PT-ISO27001.png\" class=\"not-prose\" \/>\n        <\/div>\n    <\/div>\n<\/div>\n<h2>Como fazer uma avalia\u00e7\u00e3o de riscos ISO 27001 passo a passo?<\/h2>\n<p>Embora a norma d\u00ea liberdade metodol\u00f3gica, <strong>as avalia\u00e7\u00f5es que funcionam seguem quase sempre a mesma sequ\u00eancia<\/strong>. Estes seis passos organizam o trabalho e evitam que fique a meio.<\/p>\n<h3>1. Inventaria os ativos de informa\u00e7\u00e3o<\/h3>\n<p>Come\u00e7a pelo que \u00e9 preciso proteger. Percorre cada categoria (dados, hardware, software, servi\u00e7os na cloud e pessoas com acesso) e cataloga-a dentro do \u00e2mbito do SGSI. Este passo apoia-se diretamente no <a href=\"https:\/\/factorialhr.pt\/blog\/inventario-de-ativos-iso-27001\/\">invent\u00e1rio de ativos<\/a>: se j\u00e1 o tens constru\u00eddo, boa parte do trabalho est\u00e1 feita. Se partes do zero, delimita primeiro o \u00e2mbito com clareza, porque \u00e9 isso que te diz o que entra no invent\u00e1rio e o que fica de fora.<\/p>\n<p><strong>Cada ativo deveria ficar registado com um m\u00ednimo de informa\u00e7\u00e3o \u00fatil<\/strong> para a an\u00e1lise posterior: o que \u00e9, quem \u00e9 o seu propriet\u00e1rio e que n\u00edvel de sensibilidade tem a informa\u00e7\u00e3o que trata. \u00c9 esse contexto que depois te permite estimar o impacto de um risco com crit\u00e9rio, e n\u00e3o a olho.<\/p>\n<p>O erro mais comum aqui \u00e9 limitares-te ao hardware e deixar de fora o SaaS contratado por cada equipa, que \u00e9 justamente por onde entra o risco que ningu\u00e9m vigia. Este shadow IT n\u00e3o aparece sozinho: conv\u00e9m cruzar o invent\u00e1rio com as ferramentas que est\u00e3o realmente a ser usadas e com as despesas recorrentes antes de o dares por fechado.<\/p>\n<h3>2. Identifica amea\u00e7as e vulnerabilidades<\/h3>\n<p>Para cada ativo, <strong>pergunta-te o que pode correr mal e que fraqueza o tornaria poss\u00edvel<\/strong>. Uma amea\u00e7a \u00e9 o evento (roubo, encripta\u00e7\u00e3o por ransomware, erro humano, falha de um fornecedor) e a vulnerabilidade \u00e9 a porta que deixa passar essa amea\u00e7a (um port\u00e1til sem encripta\u00e7\u00e3o, um software sem patches, um acesso que n\u00e3o foi revogado a tempo). Quase sempre s\u00e3o precisas as duas para que um risco se concretize, por isso conv\u00e9m ligar cada amea\u00e7a \u00e0 vulnerabilidade concreta que a habilita.<\/p>\n<p>N\u00e3o \u00e9 preciso inventar cat\u00e1logos infinitos. <strong>Concentra-te nos cen\u00e1rios realistas<\/strong> para o teu tipo de organiza\u00e7\u00e3o e para a tua forma de trabalhar, e apoia-te nos incidentes que j\u00e1 viveste ou que s\u00e3o habituais no teu setor.<\/p>\n<h3>3. Analisa a probabilidade e o impacto<\/h3>\n<p>Aqui chega a an\u00e1lise de riscos propriamente dita. Para cada risco, pontua <strong>a probabilidade de ocorrer e o impacto que teria se ocorresse<\/strong>, usando a escala que definiste na tua metodologia. Lembra-te de que o impacto n\u00e3o \u00e9 s\u00f3 econ\u00f3mico: tamb\u00e9m pode ser reputacional, legal ou de continuidade do neg\u00f3cio.<\/p>\n<p><strong>A combina\u00e7\u00e3o das duas pontua\u00e7\u00f5es d\u00e1 o n\u00edvel de risco.<\/strong> Aplica o mesmo crit\u00e9rio a todos os riscos para que os resultados sejam compar\u00e1veis entre si, que \u00e9 precisamente o que a norma espera de um m\u00e9todo coerente.<\/p>\n<h3>4. Prioriza os riscos com a matriz<\/h3>\n<p>Nenhuma equipa tem recursos infinitos, por isso \u00e9 preciso <strong>decidir a que riscos dedicas tempo e dinheiro e quais podes deixar para segundo plano<\/strong>. Cruza probabilidade e impacto numa matriz de risco e confronta o resultado com os teus crit\u00e9rios de aceita\u00e7\u00e3o. Assim distingues os riscos que exigem a\u00e7\u00e3o imediata daqueles que caem dentro de um n\u00edvel aceit\u00e1vel.<\/p>\n<p>A matriz \u00e9, al\u00e9m disso, a forma mais clara de <strong>explicar essas prioridades \u00e0 dire\u00e7\u00e3o<\/strong>, porque traduz a an\u00e1lise num mapa visual onde se v\u00ea de relance onde est\u00e1 o cr\u00edtico. \u00c9 esse apoio que depois justifica o investimento em controlos e ajuda a que as decis\u00f5es n\u00e3o dependam apenas do crit\u00e9rio da equipa de IT.<\/p>\n<h3>5. Define o tratamento de cada risco<\/h3>\n<p>Para cada risco acima do limiar, <strong>decide o que vais fazer com ele<\/strong> (vemo-lo em detalhe na sec\u00e7\u00e3o seguinte) e <strong>atribui um propriet\u00e1rio respons\u00e1vel<\/strong> por essa decis\u00e3o.<\/p>\n<p>Quando aplicas um controlo para o reduzir, permanece um risco residual: \u00e9 o n\u00edvel que continua a existir depois de implementada a medida, e que tamb\u00e9m tem de ser avaliado e aceite formalmente. Todas estas decis\u00f5es ficam depois plasmadas na Declara\u00e7\u00e3o de Aplicabilidade, que liga cada risco aos controlos escolhidos para o tratar.<\/p>\n<h3>6. Documenta e rev\u00ea a intervalos planeados<\/h3>\n<p>Tudo o que ficou para tr\u00e1s tem de deixar rasto. O auditor vai querer ver dois documentos: o relat\u00f3rio de avalia\u00e7\u00e3o de riscos, com os riscos identificados e as suas pontua\u00e7\u00f5es, e o plano de tratamento de riscos, com a op\u00e7\u00e3o escolhida e o respons\u00e1vel por cada um. Podes partir de um modelo para n\u00e3o come\u00e7ar do zero, mas adapta-o \u00e0 tua realidade em vez de herdar riscos que n\u00e3o s\u00e3o teus.<\/p>\n<p>E n\u00e3o a trates como um entreg\u00e1vel de uso \u00fanico. <strong>Fixa uma periodicidade de revis\u00e3o e atualiza a avalia\u00e7\u00e3o<\/strong> sempre que mude algo relevante: um novo servi\u00e7o, um incidente, uma reorganiza\u00e7\u00e3o.<\/p>\n<h2>As quatro op\u00e7\u00f5es de tratamento do risco<\/h2>\n<p>Depois de priorizados os riscos, a ISO 27001 contempla <strong>quatro formas de responder a cada um<\/strong>. N\u00e3o s\u00e3o exclusivas: um mesmo risco pode ser em parte reduzido e aceite no que sobra.<\/p>\n<ul>\n<li><strong>Reduzir:<\/strong> aplicar controlos de seguran\u00e7a que diminuam a probabilidade ou o impacto. \u00c9 a op\u00e7\u00e3o mais frequente e a que se liga ao Anexo A.<\/li>\n<li><strong>Aceitar:<\/strong> assumir o risco de forma consciente e documentada quando o seu n\u00edvel est\u00e1 dentro do limiar ou quando o custo de o tratar supera o dano potencial.<\/li>\n<li><strong>Transferir:<\/strong> passar o risco para um terceiro, por exemplo atrav\u00e9s de um seguro ou externalizando o servi\u00e7o afetado.<\/li>\n<li><strong>Evitar:<\/strong> eliminar a causa do risco deixando de realizar a atividade que o gera.<\/li>\n<\/ul>\n<h2>Exemplo pr\u00e1tico: um registo de riscos ISO 27001<\/h2>\n<p>\u00c9 assim que se veria um registo de riscos simplificado para uma empresa com uma equipa de IT reduzida e trabalho h\u00edbrido. As pontua\u00e7\u00f5es v\u00e3o numa escala de 1 a 3 (1 = baixo, 3 = alto) e o n\u00edvel de risco resulta da combina\u00e7\u00e3o de probabilidade e impacto.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Risco<\/th>\n<th style=\"text-align: center;\">Probabilidade<\/th>\n<th style=\"text-align: center;\">Impacto<\/th>\n<th style=\"text-align: center;\">N\u00edvel<\/th>\n<th style=\"text-align: center;\">Tratamento<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">Um colaborador cai num phishing e roubam-lhe as credenciais<\/td>\n<td style=\"text-align: center;\">3<\/td>\n<td style=\"text-align: center;\">3<\/td>\n<td style=\"text-align: center;\">Alto<\/td>\n<td style=\"text-align: center;\">Reduzir \u2014 MFA e sensibiliza\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Software sem patches explorado por malware<\/td>\n<td style=\"text-align: center;\">2<\/td>\n<td style=\"text-align: center;\">3<\/td>\n<td style=\"text-align: center;\">Alto<\/td>\n<td style=\"text-align: center;\">Reduzir \u2014 pol\u00edtica de patching centralizado<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Port\u00e1til perdido ou roubado com dados sem encripta\u00e7\u00e3o<\/td>\n<td style=\"text-align: center;\">2<\/td>\n<td style=\"text-align: center;\">2<\/td>\n<td style=\"text-align: center;\">M\u00e9dio<\/td>\n<td style=\"text-align: center;\">Reduzir \u2014 encripta\u00e7\u00e3o do disco e MDM com elimina\u00e7\u00e3o remota<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Sa\u00edda de um colaborador sem revogar os acessos<\/td>\n<td style=\"text-align: center;\">2<\/td>\n<td style=\"text-align: center;\">3<\/td>\n<td style=\"text-align: center;\">Alto<\/td>\n<td style=\"text-align: center;\">Reduzir \u2014 offboarding ligado ao RH<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Falha de um fornecedor SaaS cr\u00edtico<\/td>\n<td style=\"text-align: center;\">1<\/td>\n<td style=\"text-align: center;\">3<\/td>\n<td style=\"text-align: center;\">M\u00e9dio<\/td>\n<td style=\"text-align: center;\">Transferir \u2014 SLA e backup pr\u00f3prio<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Conta de redes sociais comprometida<\/td>\n<td style=\"text-align: center;\">1<\/td>\n<td style=\"text-align: center;\">1<\/td>\n<td style=\"text-align: center;\">Baixo<\/td>\n<td style=\"text-align: center;\">Aceitar \u2014 monitorizar, sem controlos adicionais<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Em quase todas as avalia\u00e7\u00f5es, os riscos que acabam no topo t\u00eam que ver com as pessoas e com os dispositivos, e muitos reduzem-se com controlos t\u00e9cnicos concretos como a encripta\u00e7\u00e3o, o patching, a gest\u00e3o de acessos ou a elimina\u00e7\u00e3o remota de um equipamento perdido. T\u00ea-los centralizados \u00e9 o que transforma o registo de riscos numa ferramenta que reduz a exposi\u00e7\u00e3o em vez de apenas a descrever.<\/p>\n<h2>Como \u00e9 que o Factorial IT te ajuda a gerir o risco do teu SGSI?<\/h2>\n<p>Uma coisa \u00e9 ter o risco identificado num registo, outra \u00e9 reduzi-lo a s\u00e9rio. O <a href=\"https:\/\/factorialhr.pt\/factorial-it\">Factorial IT<\/a> atua sobre essa segunda parte, a do tratamento, porque re\u00fane numa s\u00f3 plataforma as alavancas t\u00e9cnicas com que se mitigam os riscos que quase sempre acabam na parte alta da matriz.<\/p>\n<p><img decoding=\"async\" class=\"aligncenter\" src=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/03\/23134110\/factorial-it-platform-1024x506.png\" alt=\"plataforma factorial it\" \/><\/p>\n<p>Se rev\u00eas o exemplo da tabela anterior, a maioria desses riscos trata-se a partir daqui:<\/p>\n<ul>\n<li><strong>Equipamentos perdidos ou roubados:<\/strong> o MDM aplica a encripta\u00e7\u00e3o de forma centralizada e permite bloquear ou eliminar um dispositivo remotamente, de modo que um port\u00e1til extraviado deixa de ser uma fuga de dados.<\/li>\n<li><strong>Software desatualizado:<\/strong> o controlo do parque permite saber que vers\u00f5es correm em cada equipamento e manter o patching em dia, a vulnerabilidade por detr\u00e1s de boa parte dos incidentes por malware.<\/li>\n<li><strong>Acessos que sobrevivem a uma sa\u00edda:<\/strong> a gest\u00e3o de acessos permite retirar permiss\u00f5es quando uma pessoa muda de fun\u00e7\u00e3o ou sai, fechando a porta aos acessos \u00f3rf\u00e3os.<\/li>\n<li><strong>Riscos que decides aceitar ou vigiar:<\/strong> ao teres o estado real de cada ativo \u00e0 m\u00e3o, rever um risco assumido e justificar essa decis\u00e3o perante o auditor deixa de depender de uma folha de c\u00e1lculo desatualizada.<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>A avalia\u00e7\u00e3o de riscos \u00e9 o ponto em que quase todos os projetos de ISO 27001 encalham, e tamb\u00e9m onde mais se nota se o sistema de gest\u00e3o foi montado a s\u00e9rio ou apenas no papel. Muitas organiza\u00e7\u00f5es investem semanas a preencher uma folha de c\u00e1lculo enorme, com dezenas de amea\u00e7as te\u00f3ricas e pontua\u00e7\u00f5es atribu\u00eddas<a href=\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":199312,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1094],"tags":[],"class_list":["post-199309","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001-pt-pt"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer | Factorial<\/title>\n<meta name=\"description\" content=\"O que \u00e9 a avalia\u00e7\u00e3o de riscos ISO 27001, que m\u00e9todo escolher e como faz\u00ea-la passo a passo, com um exemplo de registo de riscos.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"pt_PT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer\" \/>\n<meta property=\"og:description\" content=\"O que \u00e9 a avalia\u00e7\u00e3o de riscos ISO 27001, que m\u00e9todo escolher e como faz\u00ea-la passo a passo, com um exemplo de registo de riscos.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-08-19T17:23:47+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/08\/19192324\/avaliacao-riscos-iso-27001.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"9 minutos\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer\",\"datePublished\":\"2026-08-19T17:23:47+00:00\",\"dateModified\":\"2026-08-19T17:23:47+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\"},\"wordCount\":2044,\"publisher\":{\"@id\":\"https:\/\/factorialhr.pt\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"pt-PT\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\",\"url\":\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\",\"name\":\"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorialhr.pt\/blog\/#website\"},\"datePublished\":\"2026-08-19T17:23:47+00:00\",\"dateModified\":\"2026-08-19T17:23:47+00:00\",\"description\":\"O que \u00e9 a avalia\u00e7\u00e3o de riscos ISO 27001, que m\u00e9todo escolher e como faz\u00ea-la passo a passo, com um exemplo de registo de riscos.\",\"inLanguage\":\"pt-PT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/#website\",\"url\":\"https:\/\/factorialhr.pt\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorialhr.pt\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorialhr.pt\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"pt-PT\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorialhr.pt\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-PT\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorialhr.pt\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-PT\",\"@id\":\"https:\/\/factorialhr.pt\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorialhr.pt\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer | Factorial","description":"O que \u00e9 a avalia\u00e7\u00e3o de riscos ISO 27001, que m\u00e9todo escolher e como faz\u00ea-la passo a passo, com um exemplo de registo de riscos.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/","og_locale":"pt_PT","og_type":"article","og_title":"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer","og_description":"O que \u00e9 a avalia\u00e7\u00e3o de riscos ISO 27001, que m\u00e9todo escolher e como faz\u00ea-la passo a passo, com um exemplo de registo de riscos.","og_url":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-08-19T17:23:47+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/08\/19192324\/avaliacao-riscos-iso-27001.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"9 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorialhr.pt\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer","datePublished":"2026-08-19T17:23:47+00:00","dateModified":"2026-08-19T17:23:47+00:00","mainEntityOfPage":{"@id":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/"},"wordCount":2044,"publisher":{"@id":"https:\/\/factorialhr.pt\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"pt-PT"},{"@type":"WebPage","@id":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/","url":"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/","name":"Avalia\u00e7\u00e3o de riscos ISO 27001: o que \u00e9 e como fazer | Factorial","isPartOf":{"@id":"https:\/\/factorialhr.pt\/blog\/#website"},"datePublished":"2026-08-19T17:23:47+00:00","dateModified":"2026-08-19T17:23:47+00:00","description":"O que \u00e9 a avalia\u00e7\u00e3o de riscos ISO 27001, que m\u00e9todo escolher e como faz\u00ea-la passo a passo, com um exemplo de registo de riscos.","inLanguage":"pt-PT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorialhr.pt\/blog\/#website","url":"https:\/\/factorialhr.pt\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorialhr.pt\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorialhr.pt\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"pt-PT"},{"@type":"Organization","@id":"https:\/\/factorialhr.pt\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorialhr.pt\/blog\/","logo":{"@type":"ImageObject","inLanguage":"pt-PT","@id":"https:\/\/factorialhr.pt\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorialhr.pt\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorialhr.pt\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"pt-PT","@id":"https:\/\/factorialhr.pt\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorialhr.pt\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/posts\/199309"}],"collection":[{"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/comments?post=199309"}],"version-history":[{"count":2,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/posts\/199309\/revisions"}],"predecessor-version":[{"id":199311,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/posts\/199309\/revisions\/199311"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/media\/199312"}],"wp:attachment":[{"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/media?parent=199309"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/categories?post=199309"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorialhr.pt\/blog\/wp-json\/wp\/v2\/tags?post=199309"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}