Het proces risicobeoordeling kan mooi worden voorgesteld op volgende figuur.

Image Added

Een risicobeoordeling houdt in dat men bekijkt welke dreigingen er zijn voor de aanwezige informatieassets in het domein van de beoordeling. Dreigingen treden op met een bepaalde waarschijnlijkheid of frequentie en hebben een impact op de informatieassets, zodat men voor elke dreiging een inherent risico kan berekenen. De aanwezige implementatiemaatregelen kunnen al dan niet naarmate ze effectief zijn dat risico verminderen, zodat - tegelijkertijd rekening houdende met gekende kwetsbaarheden, kan komen tot de restrisico’s voor de informatieassets in het domein van de beoordeling.

Het proces risicobeoordeling wordt verder beschreven in de volgende paragrafen. Na een risicobeoordeling volgt een risicobehandeling, waarbij men aangeeft welke acties moeten worden ondernomen worden in functie van de geïdentificeerde restrisico’s.

Starten van de risicobeoordeling

Starten door de

Risicobeoordeling is het deelproces van het risicobeheer waarbij wordt bepaald hoe de risico’s voor een specifiek product moeten worden ingeschat, zodanig dat deze nadien kunnen worden behandeld in het deelproces risicobehandeling.

informatieasset-eigenaar

Voor elk informatieasset met een Informatieklasse (IK) hoger dan 2, wordt een risicobeoordeling uitgevoerd door de producteigenaar (POinformatieasset-eigenaar of asset owner (AO). Een risicobeoordeling voor een product informatieasset wordt geïnitieerd nadat de informatieklasse (IK) voor het product informatieasset werd bepaald in het proces informatieklassebepaling, zie Proces - Informatieklassebepaling, en nadat de toetsing technische toetsing van maatregelen (TTM) bevraging werd uitgevoerd, zie proces Proces - Toetsing van maatregelen.

In het geval de PO AO een bestaande IKB herziet ten gevolge van de jaarlijkse herziening, dient ook de bestaande risicobeoordeling te worden herzien. Alle risicobeoordelingen worden minimaal één keer per jaar herzien, en/of bij grote functionele of technische aanpassingen, als gevolg van de productinformatieasset-dashboard herziening zoals beschreven in Proces - Informatieklassebepaling.

De geldigheid van de risicobeoordeling vervalt na één jaar geteld vanaf de laatste herziening. PO’s AO’s dragen de verantwoordelijkheid om zelf zicht te houden op de risico’s van hun producten informatieasseten de correctheid van de informatieklasse, en actie te ondernemen wanneer nodig. De PO AO kan beroep doen op een ISO op de risicobeoordeling te faciliteren en uit te voeren, maar blijft aansprakelijk.

Starten door informatieveiligheid

Risicobeoordelingen kunnen ook worden opgestart door een ISO los van de opstart door een POAO. Dit zal gebeuren bij nieuwe of veranderende dreigingen, of bij het ontdekken van ernstige kwetsbaarheden in de beheersmaatregelen (bijv. niet gerepareerde security issues met software). Het kan ook zijn dat de ISO de volledige risicobeoordeling uitvoert, wanneer een risicobeoordeling wordt uitgevoerd niet op het niveau van een productinformatieasset, maar op een niveau dat product informatieasset-overstijgend is (bijv. een nieuwe datacenter, een nieuw gebouw, of het migreren van on-prem servers naar de cloud), of wanneer de risicobeoordeling wordt uitgevoerd ten gevolge van een specifiek incident. In dat geval, zal niet het volledige proces doorlopen worden zoals hier beschreven, maar wordt ingezoemd op de specifieke omstandigheden van het incident, en worden dreigingen, maatregelen en risico’s beschreven in een formeel rapport verslag door de ISO.

Deelprocessen van de risicobeoordeling

Men kan een risicobeoordeling opsplitsen in de volgende deelprocessen:

• Risico-identificatie

• Risicoanalyse,

• Risico-evaluatie

Dit kan schematisch worden weergegeven op de volgende figuur.

Elke risicobeoordeling wordt gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Risico-identificatie

Bepalen van het domein

Als eerste stap bij het uitvoeren van een risicobeoordeling wordt het juiste domein bepaald. Bij ad hoc gevraagde beoordelingen is het belangrijk dat de aanleiding om de analyse uit te voeren goed bekend is. Met de informatie uit deze stap kan de doelstelling van de risicobeoordeling worden vastgesteld en kunnen de juiste keuzes worden gemaakt met betrekking tot de bepaling van de context.

Wanneer de PO AO een risicobeoordeling opstart, wordt de ISO gecontacteerd om de risicobeoordeling uit te voeren voor een gepast domein, eventueel door het groeperen van risicobeoordeling voor verschillende producteninformatieasseten. De ISO bepaalt het gepaste domein van de risicobeoordeling, en dus welke producten informatieasseten moeten beoordeeld worden. Vervolgens wordt de informatieklasse (IK) opgezocht voor elk product informatieasset in het domein van de risicobeoordeling.  De IK kan worden opgehaald uit het productinformatieasset-dashboard. Indien het IK nog niet beschikbaar is, dient een IK-bepaling te gebeuren zoals beschreven in het proces Proces - Informatieklassebepaling.  De IK zal later dienen als basis voor het berekenen van de impact van de geïdentificeerde dreigingen.

De risicobeoordeling wordt gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Indien de risicobeoordeling wordt uitgevoerd voor meerdere producten informatieasseten moet steeds in onderstaande tekst de indicatie PO AO gelezen worden als alle POAO's voor de producten informatieasseten in het domein.

Indien de risicobeoordeling wordt uitgevoerd door een ISO op niveau dat product informatieasset overstijgend is zoals voor een bepaald project, dan moet in onderstaande tekst de indicatie PO AO gelezen worden als de verantwoordelijke voor het domein van de risicobeoordeling.

Identificeren van dreigingen

Een risico wordt gedefinieerd als volgt: ‘De waarschijnlijkheid op het optreden van een dreiging met een gevolg op het behalen van de doelstellingen van een organisatie’.

Na het bepalen het domein, worden door de ISO alle potentiële dreigingen geïdentificeerd, vertrekkende vanuit de dreigingscataloog voor DV.  Dit is een lijst van alle mogelijke dreigingen die van toepassing kunnen zijn op alle mogelijke producten informatieasseten van DV. Het opstellen en onderhouden van de dreigingscataloog wordt beschreven in het beleid Kwetsbaarhedenbeheer. De dreigingscataloog is een onderdeel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Vanuit de dreigingscataloog worden door de ISO de generieke dreigingen bepaald die van toepassing zijn op het domein van de risicobeoordeling. Deze generieke dreigingen worden vertaald naar specifieke dreigingen voor het domein van de risicobeoordeling. Dit wordt gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Elk specifieke dreiging wordt door de ISO beschreven als: ‘Er bestaat een waarschijnlijkheid dat <beschrijft gebeurtenis> wordt veroorzaakt door <beschrijft oorzaak>'. Het gevolg van de dreiging op de organisatie wordt uitgedrukt door aan te duiden of de dreiging een impact heeft op de beschikbaarheid, integriteit en/of vertrouwelijkheid van informatie m.b.t. het domein van de risicobeoordeling.

Risico-analyse

Het in kaart brengen van de specifieke dreigingen voor het domein dat wordt beoordeeld, maakt het mogelijk om deze te analyseren door het inschatten van de waarschijnlijkheid dat een dreiging optreedt, en de impact dat de dreiging kan hebben op de organisatie.

De analyse van de waarschijnlijkheid en de impact van elk geïdentificeerde dreiging gebeurt aan de hand van gedefinieerde schalen (1 t/m 5).  Om de subjectiviteit van de inschatting van een dreiging te beperken is afstemming binnen de organisatie en overleg met de PO AO noodzakelijk.

Waarschijnlijkheid

De volgende tabel wordt gehanteerd bij het bepalen van de waarschijnlijkheid dat de dreiging optreedt. Deze inschatting moet worden uitgevoerd door de POAO, maar kan worden gefaciliteerd door de ISO, en wordt gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Impact

De impact dat een dreiging heeft op een informatieasset , wordt afgeleid van de IK van de informatieassets s in het domein van de risicobeoordeling, zoals weergegeven in de volgende tabel. Deze berekening wordt door de PO AO uitgevoerd en is geautomatiseerd en gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

De scores voor beschikbaarheid, integriteit en vertrouwelijkheid voor de risicobeoordeling worden bepaald als het maximum van de scores voor elk van de producten informatieasseten in het domein van de risicobeoordeling. De score voor impact van de specifieke dreiging wordt dan berekend als het gemiddelde van de scores voor beschikbaarheid, integriteit en vertrouwelijkheid indien het informatieasset geen persoonsgegevens bevat.  Indien het domein van de risicobeoordeling wél persoonsgegevens bevat, wordt de score bepaald door het maximum te nemen van de score voor vertrouwelijkheid, en het gemiddelde van de score voor beschikbaarheid en integriteit.

Indien nog geen IK werd bepaald, dan moet dit gebeuren vooraleer de risicobeoordeling kan worden verdergezet.

Risico Prioriteit Nummer (RPN)

Met behulp van het RPN kunnen dreigingen gerangschikt worden van groot naar klein. Het RPN wordt bepaald door waarschijnlijkheid en impact van een dreiging in bovenstaande schalen te vermenigvuldigen. Dus, RPN = waarschijnlijkheid x impact.  Hierdoor krijgt men een inschatting van het inherent risico van een bedreiging, d.w.z. zonder rekening te houden met de beheersmaatregelen die van toepassing zijn en de effectiviteit hiervan.  Deze berekening wordt door de PO AO uitgevoerd en is geautomatiseerd via het gebruik van het risicobeoordelingssjabloon.

Het inherent risico wordt afgeleid uit het RPN, en aangeven aan de hand van een gedefinieerde schaal (1 t/m 5) in de volgende tabel, waarbij moet opgemerkt dat score 2 niet gebruikt wordt. Deze berekening wordt door de PO AO uitgevoerd en is geautomatiseerd en gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Dit kan ook worden afgebeeld in de volgende tabel.

Risico-evaluatie

Identificatie van implementatiemaatregelen

Uiteindelijk gaat risicobeheer over het effectief beheersen van dreigingen. Als organisatie moet je kunnen aantonen hoe je de belangrijkste dreigingen beheerst. In deze stap van de risicobeoordeling wordt gekeken welke implementatiemaatregelen er zijn en welke effectiviteit deze hebben.

Het identificeren van implementatiemaatregelen en hun effectiviteit wordt per specifieke dreiging besproken door de ISO met de POAO, en gebeurd op basis van de TTM vragenlijst die door de PO AO werd ingevuld. Indien geen TTM werd uitgevoerd, dient dit eerst te gebeuren, zie proces Proces - Toetsing van maatregelen.

De effectiviteit van de implementatiemaatregelen wordt de effectiviteit bepaald door de POAO, aan de hand van een gedefinieerde schaal (1 t/m 5) zoals aangegeven in de volgende tabel. De inschatting van de effectiviteit moet worden uitgevoerd door de POAO, maar kan worden gefaciliteerd door de ISO. Dit wordt gedocumenteerd door middel van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Bepalen van kwetsbaarheden en het restrisico

Het aanwezig zijn van een specifieke dreiging die kan optreden met een bepaalde waarschijnlijkheid, en de effectiviteit van de beheersmaatregelen, resulteert al dan niet in het activeren van een kwetsbaarheid voor de organisatie en de producten informatieasseten in het domein van de risicobeoordeling.  Hierbij moeten ook andere reeds bekende kwetsbaarheden in aanmerking genomen worden (bv. verouderde infrastructuur, kwetsbaarheden die voortkomen uit PEN-testen, etc.).

De ISO beschrijft de kwetsbaarheden in het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling.

Een kwetsbaarheid wordt geassocieerd met een restrisico, nl. het risico dat overblijft nadat het effect van de beheersmaatregelen geëvalueerd werd en rekening gehouden werd met bekende kwetsbaarheden.  Dit is het risico dat moet worden beheerd op basis van het risico-appetijt van de directie. 

Het restrisico wordt beschreven aan de hand van een gedefinieerde schaal (1 t/m 5) en berekend door de ISO zoals aangegeven in de volgende tabel. Deze berekening wordt geautomatiseerd en gedocumenteerd via het gebruik van het DV risicobeoordelingssjabloon, zie Sjablonen risicobeoordeling door de ISO.

Het restrisico en de behandelingsprioriteit wordt uitgedrukt als:

Risicostrategie

Een risico dat in het groene of gele gebied zit vormt geen direct gevaar voor organisatie en hoeft niet noodzakelijk verder behandeld te worden. De behandeling van dit soort restrisico’s krijgt een lagere prioriteit. Een risico dat een score heeft die in het oranje gebied zit, vraagt om meer aandacht. Een risico in het rode gebied, vereist directe aandacht om te voorkomen dat de kwetsbaarheid wordt uitgebuit. 

Voor risico’s met score 4 en 5 (oranje en rood), moeten acties worden gedefinieerd die één van de 4 mogelijke risicostrategieën implementeren, met name:

• Mitigeren: het nemen van acties om het restrisico te verhinderen, te verminderen, af te zwakken of te matigen,

• Overdragen: het overdragen van het risico op een andere organisatie, bv. door het inschakelen van een ICT-dienstverlener en door het afsluiten van diverse raamcontracten,

• Vermijden: het risico elimineren van een risico door het stopzetten van de activiteiten die verband houden met het risico,

• Accepteren: een aantal specifieke risico’s waarbij de beheersmaatregelen veel meer inzet en tijd vergen dan het effect van het risico worden geaccepteerd.

De PO AO moet ervoor zorgen dat het risico verder wordt behandeld, dit wordt verder beschreven in het proces risicobehandeling, zie Proces - Risicobehandeling.

De ISO noteert in het productinformatieasset-dashboard dat een risicobeoordeling werd uitgevoerd en stuurt de de risicobeoordeling naar de PO AO ter herziening.

De risicobeoordeling wordt herzien door de PO AO en nadien gevalideerd door het afdelingshoofd en/of de team coach van de POAO.

Voor kwetsbaarheden met een score van 4 of 5 moet de PO AO en of TC een referentie opgeven naar een item in het risicobeoordelingsplan dat wordt opgesteld, het proces risicobehandeling, zie Proces - Risicobehandeling.