A Selecionar, de forma apropriada, as opções de tratamento dos riscos de segurança da informação, levando em consideração os resultados da avaliação do risco.
B Determinar quais os controles e objetivos de controle definidos pela Norma serão utilizados, sem a inclusão de controles adicionais não listados, como recomendado.
C Elaborar, cautelosamente, uma declaração de aplicabilidade que contenha os controles necessários e sua justificativa, jáque a Norma recomenda que não haja exclusão de controles.
D Preparar um plano para tratamento dos riscos residuais de segurança da informação, obtendo a aprovação da alta gerência e dos técnicos de TI.
E Não reter a informação documentada relativa ao processo de tratamento dos riscos de segurança da informação noTribunal, já que a Norma recomenda que este documento possa ser ajustado pelosstakeholderse seja público.