Van risicoanalyse naar actie met ISO 27001

Van risicoanalyse naar actie met ISO 27001

Organisaties verwerken dagelijks grote hoeveelheden waardevolle informatie. Van persoonsgegevens en financiële gegevens tot contracten, bedrijfsstrategieën en toegang tot digitale systemen: een beveiligingsincident kan op veel verschillende manieren gevolgen hebben. Toch is het onmogelijk om ieder denkbaar risico volledig uit te sluiten. Goede informatiebeveiliging begint daarom met het maken van bewuste keuzes. Welke informatie is het belangrijkst, waar bevinden zich kwetsbaarheden en welke risico's verdienen als eerste aandacht? Een risicoanalyse geeft antwoord op deze vragen, maar vormt slechts het begin. De echte waarde ontstaat wanneer de uitkomsten worden vertaald naar concrete acties.

Risico's vormen het vertrekpunt Een belangrijk uitgangspunt van ISO 27001 is dat informatiebeveiliging risicogestuurd wordt ingericht. In plaats van willekeurig zoveel mogelijk beveiligingsmaatregelen te nemen, onderzoekt een organisatie eerst welke risico's daadwerkelijk relevant zijn. Vervolgens kunnen passende keuzes worden gemaakt over de manier waarop deze risico's worden behandeld.

Dat is belangrijk, omdat geen twee organisaties hetzelfde zijn. Een softwarebedrijf dat grote hoeveelheden klantdata in de cloud verwerkt, loopt andere risico's dan een productiebedrijf dat sterk afhankelijk is van de beschikbaarheid van machines en systemen. Ook de mogelijke gevolgen van een incident verschillen. Een risicogestuurde aanpak zorgt ervoor dat tijd, geld en aandacht terechtkomen op de plaatsen waar ze daadwerkelijk nodig zijn.

Eerst bepalen wat bescherming nodig heeft

Voordat risico's kunnen worden beoordeeld, moet duidelijk zijn wat voor de organisatie waardevol is. Dat klinkt vanzelfsprekend, maar in de praktijk kan informatie verspreid zijn over verschillende systemen, apparaten en externe dienstverleners. Organisaties beschikken bijvoorbeeld over klantgegevens, personeelsinformatie, financiële administratie, intellectueel eigendom en strategische documenten. Daarnaast kunnen systemen en processen essentieel zijn om toegang tot deze informatie te behouden.

Het gaat bij informatiebeveiliging namelijk niet alleen om het voorkomen dat vertrouwelijke gegevens openbaar worden. Ook de integriteit en beschikbaarheid van informatie zijn belangrijk. Gegevens moeten correct en betrouwbaar blijven en beschikbaar zijn wanneer medewerkers of klanten deze nodig hebben. Door eerst vast te stellen welke informatie en processen belangrijk zijn, ontstaat een duidelijk vertrekpunt voor de risicoanalyse.

Bedreigingen en kwetsbaarheden herkennen

De volgende stap is onderzoeken wat er mis kan gaan. Daarbij kan worden gekeken naar bedreigingen én naar kwetsbaarheden binnen de organisatie. Een bedreiging hoeft niet altijd een cybercrimineel te zijn. Ook een menselijke fout, technische storing, stroomuitval of probleem bij een leverancier kan gevolgen hebben voor informatie.

Kwetsbaarheden maken het mogelijk dat zo'n bedreiging daadwerkelijk schade veroorzaakt. Denk aan medewerkers met onnodig uitgebreide toegangsrechten, onvoldoende beveiligde accounts, verouderde software of het ontbreken van duidelijke procedures. Juist de combinatie van bedreiging en kwetsbaarheid is interessant. Een mogelijk gevaar hoeft immers niet automatisch een groot risico te vormen wanneer voldoende maatregelen aanwezig zijn. Door systematisch te onderzoeken waar problemen kunnen ontstaan, krijgt een organisatie een realistischer beeld van haar informatiebeveiliging.

Niet ieder risico is even groot

Na het identificeren van risico's volgt de beoordeling. Organisaties moeten prioriteiten kunnen stellen, want niet ieder scenario verdient dezelfde hoeveelheid aandacht. Daarbij wordt doorgaans gekeken naar de kans dat iets gebeurt en naar de mogelijke impact. Een gebeurtenis die weinig waarschijnlijk is maar enorme gevolgen kan hebben, kan bijvoorbeeld alsnog belangrijk zijn. Hetzelfde geldt voor kleinere incidenten die zeer regelmatig kunnen voorkomen.

De impact kan bovendien verschillende vormen aannemen. Er kan financiële schade ontstaan, maar ook reputatieschade of verstoring van de bedrijfsvoering. Daarnaast kunnen contractuele of wettelijke verplichtingen een rol spelen. Het doel van deze beoordeling is niet om met absolute zekerheid te voorspellen wat er gaat gebeuren. Het gaat erom risico's op een consistente manier met elkaar te vergelijken, zodat duidelijk wordt welke onderwerpen prioriteit verdienen.

Van analyse naar risicobehandeling

Een lijst met risico's maakt een organisatie op zichzelf nog niet veiliger. Na de analyse moet daarom worden bepaald wat ermee gebeurt. Dat is het moment waarop risicobeoordeling overgaat in risicobehandeling. Sommige risico's kunnen worden verkleind door aanvullende beveiligingsmaatregelen te nemen. Een organisatie kan bijvoorbeeld strengere toegangscontroles invoeren, processen aanpassen of extra technische bescherming toepassen.

In andere gevallen kan een organisatie ervoor kiezen een bepaalde activiteit anders in te richten of te vermijden. Ook kan een deel van een risico onder bepaalde omstandigheden worden gedeeld of overgedragen. En soms wordt een risico bewust geaccepteerd omdat de mogelijke gevolgen beperkt zijn of verdere maatregelen niet in verhouding staan tot het risico. Het belangrijkste is dat deze keuzes bewust en onderbouwd worden gemaakt. Zo wordt informatiebeveiliging onderdeel van risicomanagement in plaats van een verzameling losse beveiligingsproducten.

Beheersmaatregelen moeten passen bij de praktijk

Wanneer een organisatie besluit een risico te verkleinen, moet worden bepaald welke maatregel daarbij past. Dat hoeft lang niet altijd een technische oplossing te zijn. Stel dat vertrouwelijke informatie toegankelijk is voor meer medewerkers dan noodzakelijk. Technisch toegangsbeheer kan dan onderdeel van de oplossing zijn, maar er zijn ook organisatorische afspraken nodig over wie toegang mag aanvragen, wie toestemming geeft en wanneer bestaande rechten opnieuw worden beoordeeld.

Hetzelfde geldt voor phishing. Technische filters kunnen verdachte berichten tegenhouden, maar bewustwording onder medewerkers blijft belangrijk. Een combinatie van maatregelen kan daardoor effectiever zijn dan uitsluitend investeren in technologie. Daarom is het belangrijk om steeds te kijken naar de oorzaak en context van een risico. Een maatregel heeft pas waarde wanneer deze het risico daadwerkelijk verlaagt en binnen de organisatie uitvoerbaar is.

Verantwoordelijkheden maken acties concreet

Een goed plan kan alsnog mislukken wanneer niet duidelijk is wie verantwoordelijk is voor de uitvoering. Risicobehandeling vraagt daarom ook om eigenaarschap.

Wanneer uit een risicoanalyse blijkt dat een proces moet worden verbeterd, moet iemand ervoor zorgen dat dit daadwerkelijk gebeurt. Ook moet duidelijk zijn wanneer de maatregel wordt uitgevoerd en hoe vervolgens wordt gecontroleerd of deze werkt. Dat voorkomt dat verbeterpunten maandenlang op een actielijst blijven staan zonder dat iemand zich verantwoordelijk voelt.

Bovendien hoeft de verantwoordelijkheid niet altijd bij IT te liggen. Een risico rondom personeelsgegevens kan bijvoorbeeld verschillende afdelingen raken, terwijl leveranciersrisico's ook relevant kunnen zijn voor inkoop of contractmanagement. Door verantwoordelijkheden logisch te verdelen, wordt informatiebeveiliging breder binnen de organisatie gedragen.

Controleren of maatregelen echt werken

Een maatregel invoeren is niet hetzelfde als een risico beheersen. Organisaties moeten ook kunnen beoordelen of de gekozen aanpak daadwerkelijk effectief is. Stel dat medewerkers een beveiligingstraining hebben gevolgd. Dan is de training uitgevoerd, maar daarmee staat nog niet vast dat het risico voldoende is verminderd. Misschien blijft bepaald risicovol gedrag bestaan of blijken medewerkers belangrijke procedures niet goed te kennen.

Hetzelfde geldt voor technische maatregelen en organisatorische processen. Door controles, interne audits en evaluaties kan worden vastgesteld of afspraken worden nageleefd en maatregelen het gewenste resultaat opleveren. Wanneer blijkt dat een oplossing onvoldoende werkt, kan deze worden aangepast. Daarmee ontstaat een cyclisch proces van analyseren, handelen, controleren en verbeteren.

Nieuwe ontwikkelingen zorgen voor nieuwe risico's

Een risicoanalyse is geen document dat één keer wordt opgesteld en daarna in een archief kan verdwijnen. Organisaties veranderen voortdurend en daarmee verandert ook hun risicoprofiel. Een nieuwe cloudapplicatie kan andere kwetsbaarheden introduceren. Een nieuwe leverancier kan toegang krijgen tot belangrijke informatie en thuiswerken kan invloed hebben op de manier waarop gegevens worden gebruikt. Ook groei, reorganisaties en nieuwe technologieën kunnen aanleiding zijn om risico's opnieuw te bekijken.

Daarnaast ontwikkelen externe dreigingen zich verder. Methoden die cybercriminelen gebruiken veranderen en organisaties kunnen met nieuwe vormen van digitale fraude of aanvallen te maken krijgen. Een actuele risicoanalyse helpt om zulke veranderingen tijdig te herkennen. Daardoor kan een organisatie handelen voordat een nieuwe kwetsbaarheid daadwerkelijk tot een incident leidt.

Een risicoanalyse is daarmee geen doel op zichzelf. De echte waarde ontstaat pas wanneer inzichten leiden tot duidelijke prioriteiten, passende maatregelen en concrete verantwoordelijkheden. Door vervolgens te controleren of die maatregelen werken en risico's opnieuw te beoordelen wanneer de organisatie verandert, ontstaat een voortdurend verbeterproces. Dat is precies waar een risicogestuurde aanpak om draait: niet proberen ieder denkbaar gevaar uit te sluiten, maar bewust bepalen wat belangrijk is en daar gericht naar handelen. Zo helpt ISO 27001 organisaties om informatiebeveiliging niet alleen te beschrijven, maar daadwerkelijk in de dagelijkse praktijk toe te passen.