Wat is risicobeheer in informatiebeveiliging?

Wat is informatiebeveiligingsrisicobeheer?

Informatiebeveiligingsrisicobeheer houdt in dat je duidelijke, geprioriteerde beveiligingsbeslissingen neemt wanneer je niet over volledige informatie beschikt.

Elke organisatie opereert onder onzekere omstandigheden. Bedreigingen veranderen, systemen evolueren en middelen zijn beperkt. Met informatiebeveiligingsrisicobeheer kunt u beslissen wat u wilt beschermen, hoeveel u wilt investeren en welke risico's u bewust bereid bent te accepteren.

In plaats van te reageren op incidenten of te vertrouwen op intuïtie, creëert u een werkmodel van uw omgeving vanuit een risicoperspectief. Dat model helpt u te begrijpen wat het belangrijkst is voor uw bedrijf en waar beveiligingsmaatregelen daadwerkelijk zinvolle risico's verminderen. En dit risicobeheermodel moet veranderen naarmate uw bedrijf, technologie en bedrijfsomgeving veranderen.

Het probleem dat risicobeheer moet oplossen

Je kunt niet alles even goed beschermen.

Tijd, budget en mensen zijn altijd beperkt. De echte vraag is niet of een controle op zichzelf goed is, maar of het in vergelijking met andere opties het beste gebruik van middelen is.

Infosec-risicobeheer bestaat om één enkele vraag te beantwoorden:

Wat moeten we doen met de middelen die we hebben om onze informatie en ons bedrijf zo goed mogelijk te beschermen?

Als het goed wordt gedaan, worden afwegingen zichtbaar. Het laat zien waarom sommige risico's onmiddellijk worden aangepakt, andere worden uitgesteld en sommige bewust worden geaccepteerd.

Lees ook: Waarom is informatiebeveiligingsrisicobeheer zo belangrijk?

Het doel van informatiebeveiligingsrisicobeheer

Het is onmogelijk om alle risico's uit te sluiten, dus dat is ook niet het doel van risicobeheer. Het echte doel is:

• Concentreer middelen daar waar ze het risico het meest verminderen
  
• Begrijp uw huidige beveiligingsstatus
  
• Weet wat er nodig is om het gewenste beveiligingsniveau te bereiken
  
• Neem beslissingen op basis van een gedeeld begrip, niet op basis van je intuïtie.
  

Dit zorgt voor voorspelbaarheid, en beveiligingswerk wordt doelgericht in plaats van reactief.

Wat zorgt ervoor dat risicobeheer op het gebied van informatiebeveiliging werkt?

Risicobeheer mislukt vaak omdat het verandert in documentatie in plaats van besluitvorming. Om in de praktijk te werken, moeten vier elementen aanwezig zijn.

Procedure: een gewoonte voor besluitvorming

Een bruikbare risicobeheerprocedure bepaalt hoe beslissingen worden genomen, niet alleen hoe formulieren worden ingevuld. Het geeft antwoord op vragen als:

• Hoe worden risico's geïdentificeerd en geëvalueerd?
  
• Wat wordt opgeschreven en wat wordt licht gehouden?
  
• Welk risiconiveau is aanvaardbaar en wie beslist daarover?
  

De focus moet liggen op relatieve prioritering. Proberen om precieze risicoscores te berekenen, creëert een illusie van nauwkeurigheid. Onzekerheid is altijd aanwezig, en doen alsof dat niet zo is, leidt tot slechte beslissingen.

Het gaat erom risico's met elkaar te vergelijken en te beslissen welke nu actie verdienen.

Team: de juiste mensen en duidelijke verantwoordelijkheden

Goed risicobeheer vereist meerdere invalshoeken. Technische kennis alleen is niet voldoende. Je hebt ook inzicht in de bedrijfscontext, kennis van processen en bewustzijn van beperkingen in de praktijk nodig.

Elk risico moet een duidelijke eigenaar hebben. Die persoon is verantwoordelijk voor het bepalen hoe het risico wordt behandeld en voor het zorgen dat de afgesproken maatregelen worden uitgevoerd.

Zonder eigenaarschap komt risicobeheer tot stilstand. Risico's worden besproken, maar er verandert niets.

Acties: risicobeheer is alleen van belang als het tot verandering leidt

Het enige zinvolle resultaat van risicobeheer is actie. Voor elk relevant risico moet er een duidelijk resultaat zijn:

• Er is een concrete verbetering doorgevoerd.
  
• Het risico wordt bewust aanvaard.
  
• Het risico wordt uitgesteld met een reden en een beoordelingsmoment.
  

Als risicodiscussies niet leiden tot duidelijke acties of beslissingen, is het proces mislukt. Documentatie alleen vermindert het risico niet.

Integratie: risicobeheer onderdeel maken van het dagelijkse werk

Risicobeheer kan niet geïsoleerd of incidenteel plaatsvinden. Als het maar één keer per jaar gebeurt, heeft het geen invloed op echte beslissingen. Als het buiten het dagelijkse werk valt, wordt het genegeerd.

Risicobeheer moet op de juiste momenten worden ingezet, zoals:

• Introductie van nieuwe systemen of leveranciers
  
• Grote wijzigingen aanbrengen in de gegevensverwerking
  
• Na incidenten of bijna-ongevallen
  
• Tijdens strategische of budgettaire beslissingen
  

Wanneer risicobeheer deel uitmaakt van het dagelijkse werk, worden veiligheidsbeslissingen in de loop van de tijd vanzelf beter.

Hoe kaders en risicobeheer bij elkaar passen

Informatiebeveiligingskaders en risicobeheer zijn geen afzonderlijke activiteiten. Ze werken in lagen, waarbij elke laag voortbouwt op de vorige.

In essentie definiëren frameworks een gedeelde basis. Hun vereisten weerspiegelen wat op basis van collectieve ervaring algemeen als belangrijk wordt beschouwd voor alle organisaties. Dit biedt u een startpunt en helpt u ervoor te zorgen dat u geen fundamentele aspecten van beveiliging over het hoofd ziet.

Bovenop deze basis komen nog kadercontroles. Deze beschrijven welke soorten waarborgen minimaal aanwezig moeten zijn. Ze geven een overzicht van de onderwerpen en mechanismen die moeten worden aangepakt, maar niet hoe diepgaand of uitgebreid ze moeten worden geïmplementeerd.

De derde toegevoegde laag is risicobeheer. Deze bepaalt hoe ver elke controle in uw specifieke omgeving moet gaan. Hier worden beslissingen genomen over diepgang, reikwijdte en prioritering, op basis van reële beperkingen en daadwerkelijke risico's.

De buitenste laag is risicobeoordeling. Hier gaat u verder dan het kader zelf en denkt u zelf na. Risicobeoordelingen laten zien welke controles strenger moeten worden uitgevoerd en welke aanvullende controles mogelijk nodig zijn om risico's aan te pakken die specifiek zijn voor uw organisatie.

Deze laag is ook de plek waar het leerproces plaatsvindt. Je bouwt een herhaalbaar besluitvormingsproces op dat blijft werken nadat de initiële naleving is bereikt.

Zonder risicobeheer blijven kaders oppervlakkig. Controles worden geïmplementeerd als afvinklijstjes, bescherming mist wat echt belangrijk is en beveiligingsinspanningen raken langzaam uit het zicht van de zakelijke prioriteiten.

Risicobeheer omzetten in dagelijkse beveiligingswerkzaamheden

Informatiebeveiligingsrisicobeheer werkt alleen als het praktisch en continu is en gekoppeld is aan echte beslissingen. Kaders bieden structuur en risicobeheer biedt richting, maar beide falen als ze abstract blijven of los staan van het dagelijkse werk.

Hier moet een ISMS meer doen dan alleen documenten opslaan.

Cyberday is ontwikkeld om beide kanten tegelijkertijd te ondersteunen. Het biedt u tools om doorlopend risicobeheer uit te voeren, niet alleen eenmalige beoordelingen, en om dat werk rechtstreeks te koppelen aan de kaders die u volgt. Of u nu werkt met ISO 27001, NIS2 of andere vereisten, dezelfde risicogebaseerde aanpak is van toepassing.

Risico's, controles en acties bevinden zich op één plek. Risico-eigenaren zijn duidelijk gedefinieerd. Beslissingen en vervolgacties zijn zichtbaar en worden niet begraven onder rapporten. Wanneer er iets verandert, zoals een nieuw systeem, een nieuwe leverancier of een nieuwe vereiste, wordt risicobeheer geactiveerd als onderdeel van het normale werk.

Het resultaat is een ISMS dat afgestemd blijft op de zakelijke prioriteiten. Naleving van het raamwerk wordt een bijproduct van goed risicobeheer, en niet andersom.

‍

Bekijk ons on-demand webinar voor meer informatie over dit onderwerp: Risicobeheer op het gebied van informatiebeveiliging: van verwarring naar een werkend model

‍