.png)
Risicomanagement is een veelgebruikte uitdrukking in het moderne bedrijfsleven. Maar zonder duidelijke methoden om het te implementeren en te verbinden met het dagelijkse werk, bestaat het gevaar dat risicomanagement een afstandelijke, schijnbaar nutteloze entiteit voor het bedrijf blijft.
Risicobeheer van informatiebeveiliging is een onderdeel van risicobeheer dat steeds belangrijker wordt. Vooral bij zeer digitale organisaties moet het een vooraanstaande plaats innemen in het risicomanagement.
Het idee van dit artikel is om een duidelijk operationeel model te bieden voor het beheren van risico's op het gebied van informatiebeveiliging, dat zich uitstrekt van het identificeren van risico's tot het sluiten ervan, het betrekken van verschillende mensen in verschillende rollen en het monitoren van de maatregelen waartoe is besloten bij de behandeling van risico's.
We bekijken de zaak vooral vanuit het perspectief van de goede praktijken van de ISO 27001 informatiebeveiligingsnorm.
In het algemeen wordt in elke informatiebeveiligingsnorm of aanverwante wetgeving de nadruk gelegd op risicomanagement. ISO 27001 presenteert zijn eigen vereisten, maar soortgelijke items zijn te vinden in bijvoorbeeld het NIST CSF.
ISO 27001 bevat duidelijke vereisten voor risicobeheer van informatiebeveiliging:
De eerste vereiste leidt de organisatie om risicobeheer te implementeren volgens een reeks gemeenschappelijke basisregels. Het is al een groot risico als iedereen risico's op zijn eigen manier beoordeelt.
Het tweede punt vereist dat de organisatie de controles die in ISO 27002 worden genoemd, uitgebreid herziet. De norm biedt daarom meer concrete best practices voor het verminderen van de waarschijnlijkheid of impact van risico's.
Het derde punt vereist dat de organisatie het gebruik van controles duidelijk samenvat: Welke van de controls uit ISO 27002 hebben we geïmplementeerd en op welke gronden hebben we sommige niet geïmplementeerd? Door middel van de Verklaring van Toepasselijkheid is het mogelijk om een algemeen beeld te krijgen, ook al wordt het feitelijke risicobeoordelingsproces meestal uitgevoerd vanuit het oogpunt van een individueel risico.
Een goed geïmplementeerd risicobeheerproces voor informatiebeveiliging:
Het is echter belangrijk om te begrijpen dat het niet raadzaam is om meteen in risicomanagement te duiken als de basis van cyberbeveiliging niet aanwezig is binnen de organisatie. Het wordt een uitdaging om risico's te identificeren en te evalueren als de organisatie niet beschikt over systematische werkwijzen om de gegevensverwerkende omgeving te beschrijven, bedrijfsmiddelen te documenteren die moeten worden beschermd met beveiligingsmaatregelen en inzicht te krijgen in de bestaande beveiligingsmaatregelen. Daarom wil Cyberday gevestigde kaders bieden voor al deze gebieden en beveelt het aan om na het aanpakken van de basisaspecten verder te gaan met risicomanagement.
De implementatie van risicomanagement in Cyberday wordt hieronder stap voor stap beschreven.
Nieuwe risico's kunnen in Cyberday op de volgende manieren worden geïdentificeerd:
Geautomatiseerde identificatie van cyberbeveiligingsrisico's door informatiebeveiligingstaken te activeren.
Cyberday bevat achtergrondinformatie over relevante risico's voor elke taak. Wanneer een taak wordt geactiveerd in Cyberday, worden de bijbehorende risico's automatisch toegevoegd aan het risicoregister.
Risico-identificatie door afhandeling van incidenten of wijzigingen. De processen van de organisatie voor het afhandelen van informatiebeveiligingsincidenten of belangrijke wijzigingen die gevolgen hebben voor de beveiliging, omvatten een risicoanalyse. Het doel is om de risico's te identificeren die samenhangen met de specifieke gebeurtenis, die vervolgens overgaan in de fase van risico-evaluatie. Deze risico's kunnen geheel nieuw zijn of opnieuw geëvalueerd moeten worden door het optreden van de gebeurtenis.
Identificeren van risico's verbonden aan kritieke bedrijfsmiddelen. Indien gewenst kunnen risico's worden geïdentificeerd wanneer informatiemiddelen (zoals een informatiesysteem, gegevensopslagplaats of partner) als "kritiek" worden geclassificeerd binnen het beheersysteem. Deze implementatie kan onder controle staan van de eigenaar van het bedrijfsmiddel. Alle geïdentificeerde risico's worden gekoppeld aan het bijbehorende bedrijfsmiddel door middel van een risicodocumentatiekaart.
Workshops aan de hand van voorbeeldrisico's uit Cyberday. Cyberday bevat een uitgebreide lijst met voorbeeldrisico's voor informatiebeveiliging. Deze lijst wordt gebruikt om over het hoofd geziene bedreigingen en nieuwe risico's te identificeren. We raden aan dergelijke workshops uit te voeren wanneer dat nodig is, bijvoorbeeld als andere methoden die hier zijn beschreven de afgelopen 6 maanden niet zijn gebruikt.
Zodra een risico is geïdentificeerd, is de eerste stap het selecteren van een risico-eigenaar. In Cyberday is de standaard automatische selectie voor nieuwe risico's de eigenaar van het thema Risicomanagement en Leiderschap. Deze persoon moet vervolgens het risico toewijzen aan de eigenaar van het corresponderende bedrijfsmiddel als het risico duidelijk gerelateerd is aan dat bedrijfsmiddel, of aan de eigenaar van een ander beveiligingsthema als het risico duidelijk gerelateerd is aan dat thema. Delegeren gebeurt door de juiste gebruiker als risico-eigenaar toe te wijzen op de documentatiekaart.
De initiële acties van een risico-eigenaar
In de risico-evaluatiefase wordt een numerieke waarde toegekend aan het risico op basis van de potentiële impact en waarschijnlijkheid. De organisatie kan ervoor kiezen om een engere (1-3) of bredere (1-5) beoordelingsschaal te gebruiken op basis van haar eigen voorkeuren.
Cyberday wil helpen bij de risico-evaluatie door snelle antwoorden te geven wanneer een risico niet is gekozen voor een hoge ernst of waarschijnlijkheid. Het risico kan minder ernstig zijn door de aard van de activiteiten van de organisatie of minder waarschijnlijk door de implementatie van effectieve risicomanagementpraktijken.
Op basis van de evaluatie wordt automatisch voor elk risico het risiconiveau berekend. De organisatie kan haar aanvaardbare risiconiveau bepalen en risico's die dit niveau overschrijden, moeten doorgaan naar de behandelingsfase, waar verschillende maatregelen worden geïmplementeerd om het risiconiveau te verlagen.
Het risiconiveau dat in de evaluatie wordt bepaald, geeft aan of het risicobeheer moet worden voortgezet.
Als het risiconiveau binnen of onder een aanvaardbaar bereik ligt, kan het risico in dit stadium worden aanvaard.
Indien nodig gaat het risicobeheer verder naar de behandelingsfase, waar:
De meest gebruikelijke keuze is om het risico te verminderen door extra taken uit te voeren, waardoor de eigen cyberbeveiligingspraktijken van de organisatie worden verbeterd. In deze fase is het van cruciaal belang om de vastgestelde taken op te nemen in hetzelfde systeem waarin risicobeheer wordt uitgevoerd. Dit zorgt ervoor dat risicomanagement leidt tot daadwerkelijke resultaten, die automatisch worden opgenomen in hetzelfde monitoringproces.
De samenvatting van de besloten behandeling op organisatieniveau wordt het risicobehandelingsplan genoemd. De eigenaar van elk individueel risico moet het opgestelde behandelingsplan voor het betreffende risico accepteren.
Wanneer de geplande risicobehandeling is geïmplementeerd, wat betekent dat de toegewezen eigenaren hebben bevestigd dat de taken daadwerkelijk zijn voltooid, kan het risico worden afgesloten. Het risicobeheerproces eindigt dus met een duidelijk resultaat.
Een risico kan opnieuw worden geëvalueerd, bijvoorbeeld wanneer zich een beveiligingsincident voordoet of wanneer er een belangrijke wijziging in de activiteiten van de organisatie plaatsvindt die de impact of waarschijnlijkheid van het risico zou kunnen vergroten.
Hier zijn een paar hoogtepunten die kunnen helpen bij het implementeren van risicomanagement in uw organisatie.
Als je meer wilt weten over het beheren van cyberbeveiligingsrisico's, neem dan deel aan onze komende webinars of kies een geschikt moment voor een Teams-bijeenkomst, zodat we de discussie op een meer persoonlijke manier kunnen voortzetten.
.png)
