Hoofdstuk 6

Planning — Risicobeheer & doelstellingen

YK

Yannick Kokshoorn · Coach

HS 6.1 — Acties om risico's en kansen op te pakken

Bink Security hanteert een gestructureerde aanpak voor het identificeren, beoordelen, behandelen en bewaken van informatiebeveiligingsrisico's. Doel is het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie en het voldoen aan de eisen van ISO 27001. Procesbeschrijving: P-400 Risicomanagement (bijlagen B-400a Risicoanalyse, B-400b Verslag risicoanalyse).

6.1.1 — Verantwoordelijkheden

Rol	Verantwoordelijkheid
Informatiebeveiligingsmanager	Coördineert en leidt het risicomanagementproces
Informatiebeveiligingsteam	Identificeert, beoordeelt en beheert risico's op afdelingsniveau
Leidinggevenden en medewerkers	Nemen actief deel, melden risico's en implementeren maatregelen
Risico-eigenaar	Eindverantwoordelijke voor het risico

Het risicomanagementproces in 6 stappen

Inventarisatie — potentiële risico's en kansen die de organisatie kunnen beïnvloeden in kaart brengen, samen met belanghebbenden
Beoordeling — risico's beoordelen op impact en waarschijnlijkheid; classificeren via de risicomatrix (zie 6.1.2). Vastgelegd in B-400a
Behandelen — voor risico's boven de risk appetite beheersmaatregelen uit Annex A selecteren (zie 6.1.3)
Bewaking & rapportage — uitkomsten vastgelegd in B-400b; risico's boven de risk appetite opgenomen in het verbeterregister
Bijsturing — risicoanalyse minimaal 1× per jaar herzien; besproken in interne audit en managementreview
Review & goedkeuring — procedure periodiek herzien; betrokkenheid van het topmanagement is essentieel

HS 6.1.2 — Risicobeoordeling

Per risico schat het team de kans en impact in. Samen bepalen die het risiconiveau (zeer laag → zeer hoog). Het team wijst tevens de risico-eigenaar aan.

Kans

zeer hoog	Vrijwel zeker, komend jaar (99%)
hoog	Waarschijnlijk, komend jaar (75%)
midden	Mogelijk, binnen 3 jaar (50%)
laag	Onwaarschijnlijk, binnen 5 jaar (20%)
zeer laag	Zeer onwaarschijnlijk, binnen 20 jaar (5%)

Impact

zeer hoog	Zeer grote financiële/reputatieschade
hoog	Grote financiële/reputatieschade
midden	Matige schade
laag	Beperkte schade
zeer laag	Zeer kleine schade

Vastgelegd in B-400a Risicoanalyse · minimaal jaarlijks herzien

HS 6.1.3 — Risicobehandeling

⚖️

Risk appetite — de directie heeft bepaald dat vanaf risiconiveau hoog één of meer beheersmaatregelen (Annex A) verplicht zijn om kans en/of impact te verlagen. Risico's onder dit niveau kunnen worden geaccepteerd.

Drie behandelstrategieën:

Verminderen — proactieve technische, organisatorische of administratieve maatregelen die kans of impact verlagen tot een acceptabel niveau
Behandelen — als verminderen niet kan: een plan om de gevolgen te minimaliseren wanneer het risico zich voordoet
Accepteren — als kosten/inspanning niet in verhouding staan, of het risico onder de risk appetite valt

Prioriteit & opvolging

De organisatie streeft ernaar elk risico binnen een week op te pakken. Bij meerdere gelijktijdige risico's wordt geprioriteerd op risiconiveau; bij gelijk niveau bepaalt de directie per geval. Status wordt bewaakt via het verbeterregister.

HS 6.2 — Informatiebeveiligingsdoelstellingen

Bink Security stelt meetbare informatiebeveiligingsdoelstellingen vast die aansluiten op het beleid en de risicobeoordeling. De doelstellingen worden minimaal jaarlijks geëvalueerd in de managementreview en zo nodig bijgesteld. Doelstellingen zijn SMART geformuleerd: specifiek, meetbaar, acceptabel, realistisch en tijdgebonden.

HS 6.3 — Planning van wijzigingen (change management)

Wanneer Bink Security wijzigingen wil doorvoeren die effect kunnen hebben op informatiebeveiliging en/of privacy, wordt een formeel proces doorlopen zodat risico's tijdig worden onderkend en passende beheersmaatregelen worden bepaald. Change management is het beheerst plannen, uitvoeren en documenteren van wijzigingen in proces, techniek en/of verantwoordelijkheden. Procesbeschrijving: P-360 Change management (bijlage B-360a template).

Doelstellingen

Reageren op klanteisen bij businesswijzigingen met maximale toegevoegde waarde en minder incidenten en heruitvoering
Reageren op Requests for Changes (RFCs) van business en IT, zodat de dienst aansluit op de behoeften
Borgen dat wijzigingen worden vastgelegd, beoordeeld, geautoriseerd, geprioriteerd, gepland, getest, geïmplementeerd, gedocumenteerd en gereviewd

🔁

Wanneer toepassen? Het managementteam stelt vast of een wijziging impactvol is. Zo ja, vult de security officer het change management template in en doorloopt de stappen hieronder.

Stappen per change

Stap	Inhoud
Risicobeoordeling	Vaststellen welke potentiële risico's bij de change horen en hoe daarmee wordt omgegaan
Go / no-go	Fases en beslismomenten bepalen: wie beoordeelt of doorgegaan, aangepast of geannuleerd wordt
Evaluatie / test	Beoordelen of aan de criteria voor een effectieve implementatie is voldaan
Opvolgen	Security officer borgt registratie en tijdige uitvoering van acties; rapporteert aan het MT
Archiveren	Afgeronde changes worden gearchiveerd in de map "changes" in het managementsysteem

Normelementen

A5.8	Informatiebeveiliging in projectmanagement
A8.32	Wijzigingsbeheer
6.3	Planning van wijzigingen

ISMS-portal

Dashboard