Begin met de criteria
ISO 27001 vraagt eerst om vastgestelde criteria. Hoe schat u kans en impact in, en wanneer is een risico aanvaardbaar? Die criteria zorgen ervoor dat een herhaalde analyse vergelijkbare uitkomsten geeft, ook als iemand anders hem uitvoert. Beschrijf impact bij voorkeur in termen die de directie herkent: financiële schade, uitval van dienstverlening, gevolgen voor klanten en meldplichten.
Risico’s identificeren
Een risico gaat over het verlies van vertrouwelijkheid, integriteit of beschikbaarheid van informatie binnen de scope. U kunt vertrekken vanuit bedrijfsmiddelen, zoals systemen en gegevensverzamelingen, of vanuit scenario’s, zoals een gestolen account of een uitgevallen leverancier. Scenario’s zijn voor de meeste organisaties beter te begrijpen en sluiten aan op hoe incidenten zich echt voordoen.
Wijs risico-eigenaren aan
Elk risico heeft een eigenaar: iemand met de bevoegdheid om een besluit te nemen over de behandeling. Dat is vaak een leidinggevende of proceseigenaar, niet de ICT-beheerder. De risico-eigenaar keurt het behandelplan goed en aanvaardt het restrisico. Zonder die stap blijft informatiebeveiliging een ICT-onderwerp.
Kies de behandeling
Per risico kiest u een behandeling. In het risicobehandelplan legt u vast welke maatregelen u neemt, wie ze uitvoert en wanneer ze klaar zijn. Daarna vergelijkt u de gekozen maatregelen met Annex A.
- Verminderen: maatregelen nemen die de kans of impact verkleinen.
- Vermijden: de activiteit stoppen of anders inrichten.
- Delen: een deel van het risico overdragen, bijvoorbeeld via een verzekering of contract.
- Aanvaarden: bewust accepteren, binnen de afgesproken criteria.
Houd de analyse actueel
Voer de analyse op geplande momenten uit en ook bij belangrijke wijzigingen. Denk aan een nieuwe cloudapplicatie, een overname of een incident. Koppel risico’s aan uw verbeteracties, zodat zichtbaar is welk risico daalt wanneer een actie is afgerond. Een analyse die alleen voor de audit wordt bijgewerkt, ondersteunt geen enkel besluit.