Segundo as normas ABNT sobre segurança da informação, o tratamento de risco está inserido no processo de