Risicomanagement van informatiebeveiliging: Een stapsgewijze gids voor een duidelijk proces

Risicobeheer voor informatiebeveiliging is een fundamenteel onderdeel van elke succesvolle cyberbeveiligingsstrategie.

Risicomanagement voor informatiebeveiliging is in essentie het proces van risico's identificeren, evalueren, behandelen en bewaken. Het doel is om een duidelijk proces te hebben dat leidt tot het vinden van de grootste risico's en het efficiënt inzetten van eigen middelen om deze risico's te verkleinen.

Het proces komt neer op vier belangrijke stappen: identificatie, evaluatie, behandeling en monitoring. Eerst identificeer je waar je mee te maken hebt. Dan analyseer je de risico's (vooral hun waarschijnlijkheid en impact) om ze in een geprioriteerde volgorde te zetten. Dan beslis je over de behandeling voor een beheersbaar aantal van de hoogste risico's, wat meestal betekent dat je extra beveiligingsmaatregelen neemt om de waarschijnlijkheid of impact van het risico te verlagen. Zodra de maatregelen zijn geïmplementeerd, zijn deze risico's voorlopig behandeld. Je wilt misschien nog steeds het resterende risico evalueren en dan verder gaan met het behandelen van de volgende risico's van het hoogste niveau.

Op deze manier klinkt het proces misschien niet al te ontmoedigend. Maar in een organisatie zijn er veel gezichtspunten om rekening mee te houden: veel verschillende soorten risico's, verschillende belangrijke bedrijfsmiddelen waarvoor je specifiek risico's wilt identificeren of verschillende teams van mensen die je bij het proces wilt betrekken.

Vervolgens zullen we dieper ingaan op de belangrijkste succesfactoren in deze stappen van het risicomanagementproces. Vergeet niet dat een goed geïmplementeerd risicomanagementproces de kans op en de impact van een grote beveiligingsinbreuk aanzienlijk kan verkleinen.

Wat zijn enkele voorbeelden van risico's voor informatiebeveiliging?

Informatiebeveiligingsrisico's zijn er in vele vormen. Op de een of andere manier brengen ze de vertrouwelijkheid, integriteit en beschikbaarheid van de informatiemiddelen van een organisatie in gevaar. Hier zijn enkele veelvoorkomende voorbeelden:

• Risico's met betrekking tot datasystemen: Bijvoorbeeld ransomware-aanvallen, aanvallen op accountovername door bijvoorbeeld slechte wachtwoordpraktijken, ongecontroleerde toegangsbeheerpraktijken of technische kwetsbaarheden.  
• Risico's van werken op afstand en mobiele apparaten: Deze kunnen variëren van man-in-the-middle-aanvallen tot zoekgeraakte apparaten of afluisteren.
• Personeelsgerelateerde risico's: Voorbeelden zijn infiltratie van bedreigende actoren in het personeel, roque ex-werknemers, menselijke fouten door onwetende werknemers of lekken van gegevens door insiders.
• Fysieke veiligheidsrisico's: Bijvoorbeeld vandalisme, diefstal, fysieke ongeautoriseerde toegang tot kritieke apparatuur of falende toegangscontrole in het algemeen.
• Incidentgerelateerde risico's: Deze kunnen variëren van traag reageren op beveiligingsincidenten, technische kwetsbaarheden waar het bedrijf zich niet bewust van is, sancties door niet gerapporteerde beveiligingsinbreuken.
• Ontwikkelingsgerelateerde risico's: Voorbeelden zijn onbeheerde of geïdentificeerde technische kwetsbaarheden, ongecontroleerde afhankelijkheden van derden,
• Partnergerelateerde risico's: Bijvoorbeeld partnergerelateerde downtime in onze processen, aanvallen op de toeleveringsketen, onvoldoende bewaking van kritieke beveiligingscapaciteiten van partners, continuïteitsproblemen bij partners (bijv. faillissement).  
• Risico's met betrekking tot e-mail en phishing: Deze kunnen variëren van algemene phishing-aanvallen tot spear phishing, account takeover, het lekken van wachtwoorden via onopgemerkte datalekken en business-emailcompromis waarbij onze belangrijkste medewerkers betrokken zijn.
• Technische cyberbeveiligingsrisico's: Voorbeelden zijn ontbrekende beveiligingsupdates, inadequate logging en onvermogen om inbreuken te onderzoeken, ongecontroleerde wijzigingen aan services, vernietiging van back-ups.
• Privacygerelateerde risico's: Bijvoorbeeld onduidelijke privacycommunicatie, sancties voor onvoldoende bescherming van persoonsgegevens, onderzoeken op basis van klachten van betrokkenen, sancties voor onvoldoende rapportage over gegevensbescherming.  

Om deze risico's aan te pakken is een uitgebreid informatiebeveiligingsprogramma nodig dat technische, organisatorische en menselijke maatregelen omvat. De maatregelen moeten voortdurend worden bijgewerkt om te kunnen reageren op het veranderende bedreigingslandschap.

Voorstappen: Wat voor soort informatiebeveiligingswerk moet er gedaan worden voordat je in de risico's duikt?

Bij deze eerste stap in risicomanagement gaat het erom na te denken wat er mogelijk mis zou kunnen gaan. Je moet nadenken over potentiële bedreigingen en gerelateerde kwetsbaarheden die je informatiebeveiliging in gevaar kunnen brengen.

Voorstap: Identificeer en documenteer uw informatie-assets

Als een integrale eerste stap in risicobeheer voor informatiebeveiliging moet je je informatie-assets duidelijk identificeren en documenteren. Hieronder vallen waardevolle gegevens en documenten (bijv. klantgegevens, personeelsgegevens, financiële informatie, intellectueel eigendom) en de software die wordt gebruikt om deze te verwerken (bijv. CRM-systemen, HR-systemen, productiesystemen, ERP-systemen). Maar vergeet niet dat het niet alleen om digitale gegevens gaat. Fysieke locaties (bijv. kantoren, datacenters) en fysieke activa (bijv. servers, computers en andere belangrijke hardware) die toegang geven tot deze digitale gegevens zijn ook belangrijk.

Samen met assets is het cruciaal om de stakeholders te begrijpen die nodig zijn om ze te beheren. Hoe zijn bijvoorbeeld belangrijke leveranciers of verwerkers van persoonsgegevens? Ook uw eigen medewerkers, met name verschillende eenheden met belangrijke verantwoordelijkheden op het gebied van gegevensverwerking, zijn belangrijke bedrijfsmiddelen voor de informatiebeveiliging van uw organisatie.

Ten slotte zal het documenteren van de bedrijfsmiddelen op een duidelijk georganiseerde manier je risicomanagementproces stroomlijnen. Deze documentatie moet dynamisch zijn - bijgewerkt wanneer nieuwe middelen worden toegevoegd of oude worden verwijderd. Sommige organisaties gaan ook verder met het in kaart brengen van de locaties en informatiestromen om potentiële kwetsbaarheden aan het licht te brengen, maar dit wordt al iets geavanceerder.

Voorstap: Identificeer en documenteer uw huidige beveiligingsmaatregelen

Voor succesvol risicomanagement van informatiebeveiliging moet je begrijpen wat je beschermt (de bedrijfsmiddelen) en hoe je de bescherming momenteel implementeert (beveiligingsmaatregelen).

Uw huidige beveiligingsmaatregelen omvatten ongetwijfeld technische maatregelen zoals inbraakdetectie of software voor endpointbeveiliging, organisatorische maatregelen zoals het bedrijfsbeleid voor wachtwoordsterkte en het toekennen van toegangsrechten aan gebruikers, en menselijke maatregelen zoals regels voor veilig werken op afstand of het gebruik van mobiele apparaten. Voordat u een uitgebreide blik werpt op alle bestaande beveiligingsmaatregelen, kunt u de risico's niet met succes evalueren en met elkaar vergelijken.

Door je bedrijfsmiddelen en huidige beveiligingsmaatregelen te documenteren, leg je de basis voor je ISMS (Information Security Management System). Als je dit doet, kun je al zien dat er een aantal standaard best practices ontbreken, die je al kunt corrigeren zonder het risicomanagementproces te doorlopen. Maar als je je huidige maatregelen hebt geïnventariseerd en gedocumenteerd en je bent er relatief tevreden over, dan haal je het meeste uit het robuuste risicomanagementproces om ze nog verder te verbeteren.

Inzicht in waar uw cyberbeveiliging vandaag de dag staat, is een cruciale stap in het bouwen aan een meer veerkrachtige toekomst.

Stap 1: Risico's identificeren - welke gebeurtenissen kunnen ons schade berokkenen?

Bij deze eerste stap in risicomanagement gaat het erom na te denken wat er mogelijk mis zou kunnen gaan. Je moet nadenken over potentiële bedreigingen en gerelateerde kwetsbaarheden die je informatiebeveiliging in gevaar kunnen brengen.

Informatiebeveiligingsrisico's zijn er in vele vormen en je kunt zeker voorbeeldlijsten gebruiken om je te helpen nadenken. Technische kwetsbaarheden in code, malafide ex-werknemers of slecht geleide partnerbedrijven zijn verschillend, maar allemaal relevante bronnen voor risico's op het gebied van informatiebeveiliging.

Zowel technische als organisatorische kennis zijn belangrijk om risico's te identificeren. Het actuele beveiligingsnieuws in de gaten houden is ook een manier om op de hoogte te blijven van de nieuwste bedreigingsvectoren en om te zien wat voor risico's er bij naburige bedrijven zijn gerealiseerd.

Uitdagingen ontstaan vaak door de dynamische aard van zowel technologie en bedreigingen als de complexiteit van de systemen. Systematische risico-identificatie legt echter de basis voor de volgende stappen van risico-evaluatie en -behandeling. Het is een proces dat je een tijdje moet volhouden om de beste manieren te vinden die voor jouw organisatie werken.

Tips voor succesvolle risico-identificatie:

• Definieer de gebruikte methoden voor risico-identificatie. Zijn er workshops? Gebruikt u voorbeeldrisicolijsten? Gebruikt u geautomatiseerde tools voor risico-identificatie? Voer je penetratietesten uit? Of hoe zorg je ervoor dat er continu een redelijk aantal relevante risico's voor informatiebeveiliging wordt geïdentificeerd?
• Definieer de gebruikte gezichtspunten. Identificeer je risico's in het algemeen vanuit het gezichtspunt van de hele organisatie? Of gebruikt u een asset-gebaseerd perspectief om risico's te identificeren vanuit het oogpunt van bijvoorbeeld één gegevenssysteem, proces of verandering? Beide benaderingen zijn geldig en moeten vaak worden gecombineerd voor de beste resultaten.
• Focus op kwaliteit, niet op kwantiteit. Het belangrijkste voordeel van risico-identificatie is een beter begrip van uw beveiligingsomgeving. Het kan nuttig zijn om ook risico's te identificeren die niet al te ernstig of waarschijnlijk zijn, maar niet tonnen. In de volgende stappen zult u zich in ieder geval eerst richten op de meest urgente risico's. Later kunt u hoe dan ook meer risico's identificeren. Later kun je hoe dan ook meer risico's identificeren. Te veel open risico's zorgen er alleen maar voor dat je proces vastloopt.

Slimme ISMS-tools kunnen automatisch een aantal algemene risico's identificeren en deze zelfs ordenen op basis van uw maatregelen

Stap 2: Risico's evalueren om ze de juiste prioriteit te geven

Risico-evaluatie plaatst geïdentificeerde risico's in een volgorde. Evaluatie betekent duidelijke waarden vinden voor de impact en waarschijnlijkheid van het risico en zo het risiconiveau bepalen. Voor elk risico moet je potentiële risicoscenario's, hun waarschijnlijkheid en potentiële impact onderzoeken.

Het punt is om uit te zoeken welke risico's urgent zijn en waar we ons nu op moeten richten. Alleen met de risico's met de hoogste prioriteit is het slim om door te gaan naar de volgende stappen over behandeling, d.w.z. het definiëren van risicobeperkende maatregelen om de impact of waarschijnlijkheid van risico's te verlagen.

Om de waarschijnlijkheidswaarde van het risico te analyseren en te bepalen, moet je nadenken over de mogelijke incidentscenario's die leiden tot de realisatie van het risico. Door de scenario's op te sommen, kun je uiteindelijk bijvoorbeeld de kans (%) schatten dat het risico zich in een jaar voordoet en dit vervolgens omzetten in een risicowaarde (bijv. 10% = matig).

Aspecten zoals de gerelateerde activiteit die zeer zeldzaam is, goede bestaande beveiligingscontroles of uitgebreide begeleiding voor gerelateerde werknemers kunnen het risico minder waarschijnlijk maken in je beoordelingen.

Om de risico-impactwaarde te analyseren en te bepalen, moet je nadenken over de gevolgen van het risico. Risico-impact moet ruim worden opgevat - het kan gaan om financiële gevolgen, reputatieschade, juridische gevolgen, onderbrekingen van diensten en dus verlies van zaken of concurrentievoordeel (en soms zelfs directe bedreigingen voor de gezondheid van mensen). Door na te denken over de verschillende gevolgen moet je in staat zijn om de monetaire impact (€) van het risico in te schatten en dit vervolgens om te zetten in een risicowaarde (bijv. 100k€ kan in sommige organisaties gelijk staan aan hoog).

Aspecten zoals een kleine hoeveelheid gerelateerde bedrijfsmiddelen, de gerelateerde activiteit die slechts van beperkt belang is voor je organisatie of sterke bestaande beveiligingscontroles kunnen de risico-impact in je evaluaties verlagen.

Tips voor een succesvolle risico-evaluatie:

• Wees heel duidelijk met evaluatieschalen. Gebruik je een schaal van 1-3? Of 1-5? Of fijnere waarden? Wat je ook kiest, het belangrijkste is dat elke deelnemer in detail begrijpt wat het betekent als de risico-impact 2 - laag of 5 - kritiek is. Je moet duidelijke beschrijvingen schrijven voor de verschillende niveaus. Lage impact kan betekenen dat de schade voor sommige organisaties minder dan € 20.000 bedraagt, hoge waarschijnlijkheid dat het risico zich naar schatting eens in de 2 jaar voordoet.
• Definieer een aanvaardbaar risiconiveau. Gewoonlijk is risiconiveau = impact x waarschijnlijkheid. Door een aanvaardbaar risiconiveau vast te stellen (bijv. 8), help je je te concentreren op je risicowerk. Als je tijd gebruikt om een risico te evalueren of zelfs maar te bespreken dat sowieso onder het aanvaardbare risiconiveau ligt, dan ben je eigenlijk niet slim bezig.

Stap 3: De grootste risico's behandelen - hoe verlaag je hun niveau?

Na de eerste 2 stappen zou je een duidelijke geprioriteerde lijst van verschillende informatiebeveiligingsrisico's moeten hebben gemaakt. Tijdens de risicobehandeling plan en implementeer je maatregelen om de hoogste risico's te verlagen. Sommige risico's kun je misschien delen of elimineren, maar meestal zet je bij informatiebeveiliging een of andere nieuwe bescherming in om de impact of waarschijnlijkheid van het risico te verkleinen.

In concreto kan de behandeling van een bepaald risico het creëren van betere organisatorische controles inhouden (bijv. duidelijkere controleprocessen, strengere contracten, richtlijnen voor werknemers), het implementeren van betere technologische beschermingen (bijv. encryptiesoftware, alarmsystemen, scannen op kwetsbaarheden) of het verbeteren van richtlijnen en instructies voor werknemers (bijv. over werken op afstand, wachtwoordgebruik, verwerking van persoonlijke gegevens).

Het opstellen van behandelplannen voor risico's kan baat hebben bij samenwerking en expertise vanuit meerdere gebieden. Het is jouw taak om de beste manier te vinden om het risiconiveau te verlagen met de minimaal benodigde investering.

Tips voor een succesvolle risico-evaluatie:

• Bepaal je limiet voor "risico's in behandeling". Elke organisatie heeft beperkte middelen voor informatiebeveiliging. Afhankelijk van de omvang van je activiteiten zou je jezelf een aantal grenzen moeten stellen. Je kunt bijvoorbeeld max. 10 risico's tegelijk in behandeling hebben. Dan kun je die risico's regelmatig opnieuw bekijken en je richten op het voltooien van de behandeling. Daarna ga je verder met de behandeling van de volgende risico's. Dit is de manier om het proces duidelijk en systematisch te houden.
• Bekijk "risico's in behandeling" regelmatig opnieuw. Als je een maandelijkse risicobeheerworkshop hebt, wat doe je dan als eerste? Je moet waarschijnlijk de risico's bezoeken waarvoor al behandelplannen bestaan. Zijn ze uitgevoerd? Als sommige dat hebben gedaan, is het tijd om meer risico's in behandeling te nemen vanaf de bovenste evaluatiestapel.

Stap 4: Beste praktijken voor risicomonitoring

Met de eerste drie essentiële stappen in risicobeheer voor informatiebeveiliging heb je in feite al een groot deel van het werk gedaan.

Het punt bij risicomonitoring is ervoor te zorgen dat je met geselecteerde tussenpozen terugkeert naar relevante risico's. Dingen veranderen - zowel rondom als binnen uw organisatie. Cyberbeveiligingsbedreigingen evolueren, er komt nieuwe regelgeving en u kunt grote organisatorische veranderingen doorvoeren (bijv. veel nieuw personeel toevoegen, nieuwe producten lanceren, enz.) Dit soort veranderingen kan van invloed zijn op uw risico-evaluaties.

Wanneer een risico aanzienlijk verandert, valt het mogelijk niet langer binnen aanvaardbare grenzen. Dit is ook nauw verbonden met de evaluatie van het restrisico.

Overblijvend risico verwijst naar het risico dat overblijft nadat de risicobehandeling is toegepast. Het risico wordt dus eigenlijk opnieuw geëvalueerd volgens dezelfde criteria als vóór de behandeling. Het evalueren van dit restrisico zorgt ervoor dat je je bewust bent van het resterende risico, ook al is het in principe geaccepteerd.

• Begrijp de grootste restrisico's. Het kan relevant zijn om de grootste resterende risico's te communiceren naar het topmanagement van de organisatie of andere belanghebbenden. Op deze manier kun je openlijk benadrukken dat er risico's zijn geïdentificeerd en dat er acties zijn ondernomen, maar dat er bijvoorbeeld met de huidige middelen nog steeds merkbare risico's overblijven.
• Risicomonitoring automatiseren. Slimme tools kunnen functies bieden zoals jaarlijkse herinneringen voor risico-eigenaren, om ofwel eenvoudig te bevestigen dat er geen significante veranderingen met betrekking tot het risico hebben plaatsgevonden, of evaluaties bij te werken en het risico terug te brengen naar actieve stappen, als het zich niet langer op een acceptabel niveau bevindt.

Speciaal: Activagerelateerde risico-identificatie koppelen aan algemene risicobeoordeling

Uw belangrijkste bedrijfsmiddelen verwijzen naar de belangrijkste onderdelen in de gegevensverwerkingsomgeving van uw organisatie. Zij vormen de kern die u probeert veilig te houden met uw beveiligingsmaatregelen. Enkele voorbeelden van belangrijke bedrijfsmiddelen zijn bijv:

• Opslag van belangrijke gegevens: Ongetwijfeld een van de meest waardevolle bezittingen van een organisatie. Het kan van alles zijn, van gevoelige gebruikersinformatie, databases vol klant-eigenaargegevens, productgegevens, financiële statistieken of eigen onderzoek.
• Belangrijke datasystemen / software: De toepassingen en systemen die je processen draaiende houden. Waardevolle software kan bestaan uit tools voor klantenrelatiebeheer, databasesystemen of op maat gemaakte toepassingen.
• Belangrijke processen: Je processen moeten blijven draaien om bedrijfscontinuïteit te garanderen.
• Sleutelpartners: Onvervangbare partners, wiens problemen ook de continuïteit van je activiteiten in de weg zouden staan.
• Belangrijke locaties: je fysieke locaties die essentieel zijn voor het uitvoeren van je activiteiten.

Het gebruik van asset-based risico-identificatie in combinatie met meer algemene risicobeoordelingen is een geweldige manier om nog betere resultaten te halen uit uw inspanningen op het gebied van risicomanagement.

Asset-gebaseerde risico-identificatie zal je helpen:

• Delegeer de verantwoordelijkheid voor het identificeren en beoordelen van risico's aan eigenaren van bedrijfsmiddelen
• Meer gedetailleerde risico's identificeren, die vaak ook eenvoudiger te behandelen zijn
  
• Ervoor zorgen dat het gezichtspunt van belangrijke bedrijfsmiddelen niet wordt vergeten bij het uitvoeren van risicobeoordelingen

Slimme ISMS-systemen kunnen de eigenaren van de belangrijkste bedrijfsmiddelen dwingen om de workflows voor risico-identificatie te doorlopen.

Conclusie

In elk robuust informatiebeveiligingsprogramma is systematisch risicomanagement een manier om de informatiebeveiliging voortdurend te verbeteren. Door een gestructureerde aanpak voor het identificeren, evalueren, behandelen en bewaken van de informatiebeveiligingsrisico's van uw organisatie, bent u goed gepositioneerd voor succes.

Uit onze discussies over risico-identificatie, risico-evaluatie, risicobehandeling en -monitoring hebt u geleerd dat dit proces een cyclus is, geen eenmalige inspanning. Door voortdurend uw beveiligingspostuur opnieuw te beoordelen aan de hand van de risico's, zal uw organisatie altijd klaar zijn voor welk risico zich ook aandient.

Je moet echter niet meteen in risicomanagement duiken. Documentatie van je informatiemiddelen en huidige verdedigingsmechanismen vormt de basis voor effectief risicomanagement. Betrokkenheid van de belangrijkste belanghebbenden, open communicatie, robuuste analyses en effectieve samenwerking zijn ook elementen die deel uitmaken van een succesvol risicomanagementprogramma.

Informatiebeveiliging is geen luxe - het is een noodzaak. Het is nu tijd om een robuust proces op te zetten voor het beheren van de risico's voor informatiebeveiliging van uw organisatie.

‍