Referente à gestão de riscos em segurança da informação, analise as assertivas abaixo:

I. A análise de riscos envolve a identificação e avaliação dos riscos que podem impactar a segurança da informação.

II. O tratamento de risco pode incluir medidas para mitigar, transferir, aceitar ou evitar o risco.

III. O risco residual é o risco que permanece após a implementação de medidas de tratamento de risco.

Quais estão corretas?