Het systematisch identificeren, beoordelen en behandelen van risico's om zo de veiligheid van informatie, informatieverwerking en informatiesystemen te waarborgen.
De organisatie in staat stellen weloverwogen keuzes te maken over informatieveiligheidsrisico's, waardoor het de bedrijfsdoelstellingen kan realiseren en voldoet aan wettelijke en andere vereisten.
|
DOELSTELLINGEN| Filter by label (Content by label) | ||||||||
|---|---|---|---|---|---|---|---|---|
|
|
| Filter by label (Content by label) | ||||||||
|---|---|---|---|---|---|---|---|---|
|
| Panel | ||||||
|---|---|---|---|---|---|---|
| ||||||
Dit omvat het vaststellen van de zakelijke omgeving en de scope van de informatieasset (dienst, product of proces) voor goede begripsvorming en afbakening. |
Omgevingsfactoren
Voor de informatieasset dient te worden vastgesteld wat de omgevingsfactoren zijn en de precieze scope en afbakening. Deze informatie is belangrijk als input op de risicobeoordeling en -behandeling. Specifieke vragen die gesteld kunnen worden zijn: Wat levert de informatieasset? Wat is de scope? Wat is de strategische waarde? Wie zijn de klanten en andere belanghebbenden? Welke informatie wordt opgeslagen of verwerkt? Met welk doel wordt informatie opgeslagen of verwerkt? Wat is de informatieklassenbepaling? Is er specifieke wet- en/of regelgeving van toepassing? Wat zijn de afhankelijkheden en beperkingen?
Risicobeoordeling
| Panel | ||||||
|---|---|---|---|---|---|---|
| ||||||
Risicobeoordeling is een systematische methode om de aard en omvang van informatieveiligheidsrisico's te identificeren, evalueren en prioriteren. Het betreft doorgaans de stappen van risico-identificatie, risico-analyse en risico-evaluatie. |
Aanleiding en frequentie
De term aanleiding verwijst in deze naar de specifieke gebeurtenis of omstandigheid die reden geeft tot het uitvoeren van een risicobeoordeling. Dit kan bijvoorbeeld een incident, een verandering in wet- of regelgeving, of de introductie van een nieuw product, dienst of technologie zijn. De term frequentie daarentegen heeft betrekking op de periodiciteit waarmee risicobeoordelingen worden uitgevoerd.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Voor alle informatieassets geldt het volgende:
De geldigheid van de informatieklassenbepaling en risicorating vervallen automatisch na één jaar geteld vanaf de laatste herziening. (Gedelegeerde) eigenaren dragen de verantwoordelijkheid om zelf zicht te houden op de risico’s van hun assets en de correctheid van de informatieklassen en actie te ondernemen wanneer nodig. Informatieveiligheidsrisico’s kunnen ook ad-hoc geidentificeerd of gerapporteerd worden. De eigenaar MOET ervoor zorgen dat het risico verder wordt geanalyseerd en behandeld. |
Methodiek
Door de implementatie van een uniforme risicomethodiek binnen de Vo wordt een gestructureerde aanpak gerealiseerd voor het uitvoeren van risicoanalyses risicobeoordelingen en het bepalen van geschikte maatregelenrisicobehandeling.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelEr MOET een dreigingencatalogus worden vastgelegd, goedgekeurd en jaarlijks gereviseerd op basis van Industry Best Practices en andere context specifieke inzichten. Deze catalogus De generieke dreigingencatalogus faciliteert het proces van risicobeoordeling en de keuze van passende beveiligingsmaatregelenbeheersmaatregelen. Voor alle beoordelingen gelden de volgende regels en schalen:
|
| Panel | ||||||
|---|---|---|---|---|---|---|
| ||||||
Risicobehandeling is het proces van het nemen van besluiten over en het implementeren van maatregelen om risico's te beheersen. Dit kan inhouden dat risico’s worden gereduceerd, overgedragen, vermeden of geaccepteerd. |
Aanleiding en frequentie
De risicobehandeling wordt gewoonlijk geïnitieerd op basis van de resultaten van de risicobeoordeling. Echter, wijzigingen in het risicoprofiel, de invoering van nieuwe maatregelen of andere relevante factoren kunnen aanpassingen in het behandelplan vereisen. Voortdurende monitoring van de uitvoering van dit plan is daarom van cruciaal belang.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelVoor alle assets geldt het volgende:
|
Methodiek
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel
|
Goedkeuring
De bekrachtiging van de geselecteerde risicobehandeling is een geformaliseerde procedure die wordt uitgevoerd door de risico-eigenaar, in overleg met alle relevante stakeholders.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelGoedkeuring van risicobehandeling binnen Digitaal Vlaanderen MOET als volgt gebeuren:
|
Acceptatie
Risicoacceptatie is een bewuste beslissing om een geïdentificeerd en geëvalueerd risico te accepteren zonder aanvullende beveiligingsmaatregelen te nemen om het risico te mitigeren. Deze benadering wordt meestal gekozen wanneer de kosten voor het verminderen van het risico disproportioneel zouden zijn in vergelijking met de potentiële schade, of wanneer het risico binnen de vastgestelde tolerantiegrenzen van de organisatie valt.
Het is een strategische keuze gedocumenteerd en goedgekeurd op een passend niveau binnen de organisatie. Dit betekent dat het senior management of andere verantwoordelijke partijen formeel akkoord gaan met het accepteren van het risico.
Risicoacceptatie is geen eenmalige actie, maar vereist continue monitoring om te verifiëren dat het risico binnen de aanvaardbare grenzen blijft en dat de context waarin het risico is geaccepteerd, niet significant is veranderd.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel
|
Hieronder vindt u een overzicht van de controles die worden ingezet voor het toetsen van de conformiteit aan het beleid.
Door deze controles uit te voeren, kan de organisatie de effectiviteit van haar beleid verzekeren, eventuele nalevingsproblemen aanpakken en de algehele conformiteit met interne en externe vereisten verbeteren.
Zie /wiki/spaces/ISMS/pages/6329503023 voor meer informatie.
Type | Controle | ||||||
|---|---|---|---|---|---|---|---|
| Percentage analyses dat wordt onderbouwd door latere ervaringen of testen (nauwkeurigheid) | ||||||
| Verhouding tussen cumulatieve werkelijke verliezen en verwachte verliesomvang | ||||||
| Een 'tevredenheidsindex' over risicoanalyserapportage (bijv. het percentage positieve antwoorden van bedrijfsmanagers op een tevredenheidsenquête over de leesbaarheid, bruikbaarheid en nauwkeurigheid van risicoanalyserapporten) | ||||||
| Percentage van de tijd dat analyses worden uitgevoerd door getrainde analisten (metriek op een hoger niveau gerelateerd aan nauwkeurigheid, verdedigbaarheid en consistentie) | ||||||
| Een uitgewerkte procedure bestaat ter identificatie, beoordeling en beslissing van risico’s | ||||||
| Aantal goedgekeurde risicoanalyseresultaten die nog niet zijn opgenomen in het risicoprofiel | ||||||
| Percentage kritieke bedrijfsservices dat niet wordt gedekt door risicoanalyse | ||||||
| Volledigheid van de belangrijkste kenmerken van risicogegevens in het IT-risicoregister |
Regelgeving en standaarden (L1)
ISO 27001:2022 (ISMS)
| Page Properties Report | ||||||||
|---|---|---|---|---|---|---|---|---|
|
ISO 27001:2022 (Annex A)
| Page Properties Report | ||||||||
|---|---|---|---|---|---|---|---|---|
|
Informatieveiligheidsstrategie van de Vlaamse overheid (L2)
Zie 1.4. Risicobeheer en 5.5. Minimale maatregelen - proces risicobeheer voor meer informatie.
Processen
De gerelateerde processen staan beschreven op volgende pagina:
Titel | Auteur | Datum | Versie | Status | Opmerkingen | ||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
Beleid voor risicobeheer | Vincent Alwicher | 1.0 |
|
| Page Properties | ||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||||||||||||||||||||||||||||||||||
Document status (Metadata)Onderstaande gegevens worden gebruikt voor rapporteringsdoeleinden in documentregister
status opties:
status eveneens aanpassen bovenaan deze pagina |