ISO 27001 Risicocriteria: Verdedigbare 3x3 tot 5x5 Templates

Risicocriteria zijn de gedocumenteerde regels die u gebruikt om te beoordelen hoe waarschijnlijk een risico is, hoe ernstig de impact zou zijn en wanneer het aanvaardbaar is. Definieer ze als een eenvoudige 3x3 tot 5x5 schaal met begrijpelijke ankerteksten, koppel ze aan bedrijfsdoelstellingen en laat het topmanagement ze schriftelijk goedkeuren. Die combinatie maakt uw criteria verdedigbaar bij een ISO 27001-audit.

Samenvatting:

• Laat het topmanagement de drempelwaarden, schalen, scope, herzieningtriggers en versie schriftelijk goedkeuren; leg vast wie elk risico mag accepteren of escaleren.
• Kies een 3x3 voor een kleine of eerstejaars scope, of een 5x5 voor fijnere rangschikking; definieer begrijpelijke ankerteksten en een vaste beoordelingshorizon.
• Beoordeel de impact over relevante bedrijfsdimensies heen en gebruik het slechtste geval als de algehele beoordeling, tenzij uw organisatie gewogen scoring kan bijhouden en verantwoorden.
• Koppel elke matrixcategorie aan een standaardactie, eigenaar en escalatie-autoriteit, en verbind behandelkeuzes, restrisico en Annex A-beheersmaatregelen aan registerinvoeren.
• Bewaar bewijsmateriaal en motivaties voor beoordelingen in het register en herzie getroffen risico's na grote incidenten, scope- of technologiewijzigingen, nieuwe regelgeving of strategische verschuivingen.

Inhoudsopgave

• 1. Wat ISO 27001 verwacht van uw risicocriteria
• 2. Hoe u acceptatiedrempels, scope en governance definieert
• 3. Waarschijnlijkheid beoordelen met schalen die beoordelaars kunnen reproduceren
• 4. Impact beoordelen over de dimensies die voor de organisatie van belang zijn
• 5. Een risicomatrix kiezen: 3x3, 4x4 of 5x5
• 6. Criteria en beoordelingsbewijzen documenteren voor auditors
• 7. Risicocriteria koppelen aan behandelbeslissingen en de Verklaring van Toepasselijkheid
• 8. Aanpasbare schaaltemplates en een uitgewerkt voorbeeld
• 9. Waarom u op deze richtlijnen kunt vertrouwen
• 10. Mijn advies voor het uitrollen van criteria
• 11. Hoe wij u helpen verdedigbare criteria sneller te documenteren
• FAQ
• Bronnen

1. Wat ISO 27001 verwacht van uw risicocriteria

ISO/IEC 27001 vereist een informatiebeveiligingsbeheersysteem (ISMS) en plaatst risicobeheer centraal: het proces dat u gebruikt om informatiebeveiligingsrisico's te identificeren en te beheren, en om vertrouwelijkheid, integriteit en beschikbaarheid te waarborgen. Clausule 6.1.2 maakt dit concreet. Het vraagt u risicocriteria vast te stellen en te onderhouden, inclusief criteria voor het accepteren van risico's en criteria voor het uitvoeren van beoordelingen, en te zorgen dat herhaalde beoordelingen consistente, geldige en vergelijkbare resultaten opleveren.

Let op wat de norm níét zegt. Ze geeft u geen formule of verplichte matrix. ISO/IEC 27005 biedt richtlijnen voor het beheer van informatiebeveiligingsrisico's en verwacht dat u uw eigen risico-evaluatie-, impact- en acceptatiecriteria definieert die passen bij uw context. Met andere woorden: de methode is uw keuze. De onderbouwing ervan is niet optioneel.

Auditors onderzoeken doorgaans drie aspecten:

• Documentatie. Zijn de criteria schriftelijk vastgelegd, met schaaldefinities, drempelwaarden en de datum van goedkeuring?
• Consistente toepassing. Komen twee beoordelaars die hetzelfde scenario bekijken tot dezelfde beoordeling? Implementatierichtlijnen zoals de ISO 27001-gids van NQA benadrukken dat de methode consistent moet worden toegepast over de gehele ISMS-scope en periodiek moet worden herzien.
• Traceerbare beslissingen. Kunnen zij een lijn volgen van een beoordeling in het register naar een behandelbeslissing naar een beheersmaatregel in de Verklaring van Toepasselijkheid?

Beschouw de criteria als het regelboek waarvolgens uw risicoregister werkt. Als het regelboek vaag is, wordt elke beoordeling een discussie, en elke discussie een auditbevinding. Als het precies maar onpraktisch is, volgt niemand het en raakt het register los van de werkelijkheid.

Risicomodellen spelen hierbij ook een rol. NIST SP 800-30 Revisie 1 beschrijft risico aan de hand van factoren zoals dreiging, kwetsbaarheid, impact en waarschijnlijkheid, en beveelt aan schalen en tijdframes te definiëren die passen bij de context van de organisatie. Het is een Amerikaans overheidsdocument, maar de logica ervan sluit naadloos aan op ISO 27001 en geeft u de terminologie die een auditor herkent.

Eén praktische consequentie: schrijf uw criteria voordat u het register begint te vullen. Teams die risico's eerst beoordelen en de schaal achteraf rechtvaardigen, gaan ankerteksten terugwerkend aanpassen aan cijfers die ze al hadden gekozen, en auditors herkennen dat snel. De schaal komt eerst, de beoordelingen volgen, en elke wijziging van de schaal vereist een gedocumenteerde herziening van bestaande beoordelingen.

2. Hoe u acceptatiedrempels, scope en governance definieert

Begin met het onderscheiden van drie begrippen die vaak door elkaar worden gehaald. Risicobereidheid is de brede hoeveelheid risico die de organisatie bereid is te nemen om haar doelstellingen te bereiken. Risicotolerantie is de aanvaardbare afwijking rondom een specifieke doelstelling. Risicoaanvaardingscriteria zijn de operationele drempelwaarden die uw beoordelaars toepassen: onder deze score accepteren wij, daarboven behandelen wij. Bereidheid is een uitspraak van de leiding, tolerantie is een limiet op doelstellingsniveau, en criteria zijn de werkende regels. Als u een diepgaandere behandeling van het eerste concept wilt, laat onze gids over ISO 27001-risicobereidheid zien hoe u deze kunt definiëren en meten.

Formuleer drempelwaarden in taal die een manager kan lezen zonder verklarende woordenlijst, en koppel elke drempelwaarde aan een bedrijfsdoelstelling. Enkele voorbeelden:

• "Wij accepteren risico's die ten hoogste een geringe, dezelfde dag opgeloste verstoring van klantgerichte diensten kunnen veroorzaken."
• "Elk risico dat gereguleerde klantgegevens kan blootstellen, wordt nooit geaccepteerd zonder een gedocumenteerd behandelplan."
• "Risico's die als Hoog zijn beoordeeld, vereisen een benoemde eigenaar en een behandeldatum binnen het lopende kwartaal."

Merk op dat elke uitspraak een beoordeling koppelt aan iets wat de organisatie belangrijk vindt: beschikbaarheid, naleving van regelgeving, klantvertrouwen. Die koppeling is wat standhoud bij de vraag van een auditor: "waarom deze drempel?"

Governance is waar veel programma's struikelen. Het topmanagement moet de criteria en de acceptatiedrempels goedkeuren, niet alleen het beveiligingsteam. Practitioners rapporteren consistent dat het vroegtijdig verkrijgen van formele overeenstemming, met name over acceptatiedrempels, u een duidelijk mandaat geeft en latere budgetgesprekken eenvoudiger maakt, omdat de leiding al heeft afgesproken wat "te risicovol" betekent. Leg vast wie heeft goedgekeurd, wanneer en welke versie.

Scope verdient dezelfde discipline. Vermeld welke assets, processen, locaties en bedrijfsonderdelen de criteria omvatten. Als één afdeling een andere schaal gebruikt dan een andere, documenteer waarom. Gemengde schalen binnen één ISMS-scope zijn een veelvoorkomende bron van non-conformiteiten, omdat de resultaten niet meer vergelijkbaar zijn.

Een governanceregistratie die in de praktijk werkt, bevat:

• De goedgekeurde schalen voor waarschijnlijkheid en impact, met ankerteksten
• De acceptatiedrempel en wie risico's daarboven of daaronder mag accepteren
• De scope waarop de criteria van toepassing zijn
• De herzieningscyclus en de triggers die een eerdere herziening vereisen
• De naam, functie, datum en versienummer van de goedkeurder

Houd het bij één of twee pagina's. Korte criteriadocumenten worden gelezen, gevolgd en geauditeerd zonder weerstand.

3. Waarschijnlijkheid beoordelen met schalen die beoordelaars kunnen reproduceren

Waarschijnlijkheid is de beoordeling die het meest waarschijnlijk afwijkt tussen beoordelaars, dus geef haar de strakste ankerteksten. Er bestaan drie gangbare opties, en elk ervan kan een audit doorstaan als het consistent wordt toegepast:

• Kwalitatieve labels: Zeldzaam, Mogelijk, Waarschijnlijk. Eenvoudig en snel, maar gemakkelijk anders te interpreteren.
• Semi-kwantitatieve 1-5 schalen: Elk cijfer heeft een beschrijving. Dit is de meest gangbare keuze in ISO 27001-programma's.
• Frequentiegebaseerde bewoordingen: "Kan zich ongeveer eens in de vijf jaar voordoen" versus "kan zich meerdere keren per jaar voordoen." Makkelijker te verdedigen omdat het verwijst naar iets waarneembaars.

Welke u ook kiest, stel de tijdshorizon vast. Een risico dat volgende maand onwaarschijnlijk is, kan over een decennium vrijwel zeker zijn. Vermeld de horizon in de criteria, zoals een vastgestelde beoordelingshorizon, en leg deze in het register vast zodat elke beoordeling hetzelfde betekent. NIST SP 800-30 maakt hetzelfde punt vanuit de levenscyclus: kies beoordelingsschalen en -modellen die geschikt zijn voor de context en het stadium van de beoordeling.

Ankerteksten maken beoordelingen reproduceerbaar. Een voorbeeld van een 5-puntsschaal:

• 1, Zeldzaam: Niet verwacht binnen de horizon; geen bekende voorval in onze sector of onze geschiedenis.
• 2, Onwaarschijnlijk: Kan gebeuren, maar zou bijzondere omstandigheden vereisen.
• 3, Mogelijk: Heeft zich voorgedaan bij vergelijkbare organisaties; aannemelijk binnen de horizon.
• 4, Waarschijnlijk: Heeft zich bij ons of naaste collega's voorgedaan; verwacht onder huidige beheersmaatregelen.
• 5, Vrijwel zeker: Doet zich nu voor of herhaaldelijk; huidige beheersmaatregelen voorkomen het niet.

De bewoordingen zijn bewust eenvoudig gehouden. Als een nieuwe beoordelaar een schaalpunt niet kan toepassen na het lezen van één zin, herschrijf het dan.

Bewijsmateriaal versterkt waarschijnlijkheidsbeoordelingen. Gebruik uw eigen incidentgeschiedenis, bijna-misserlogboeken, resultaten van kwetsbaarheidsscans en relevante dreigingsinformatie om een beoordeling te onderbouwen, en noteer de bron in het register. Een beoordeling van "Waarschijnlijk" die wordt ondersteund door gedocumenteerde phishing-incidenten is veel makkelijker te verdedigen dan dezelfde beoordeling die op intuïtie is gebaseerd. Oudere NIST-richtlijnen, zoals de gearchiveerde Risk Management Guide for IT Systems, bevatten voorbeeldtabellen met waarschijnlijkheidsdefinities die u kunt aanpassen in plaats van zelf te bedenken.

Pro-tip: Laat collega's dezelfde risico's onafhankelijk beoordelen met alleen uw schriftelijke ankerteksten. Overal waar hun beoordelingen van elkaar afwijken, ligt het probleem in de ankertekst — herstel dit voordat u het uitrolt.

4. Impact beoordelen over de dimensies die voor de organisatie van belang zijn

Impact beantwoordt een andere vraag: als dit risico zich voordeed, hoe erg zou het dan zijn? Omdat informatiebeveiligingsincidenten op verschillende manieren schade veroorzaken, definieert u impact over meerdere dimensies in plaats van één vage "ernst". De gebruikelijke set voor ISO 27001-programma's is:

• Vertrouwelijkheid: ongeautoriseerde openbaarmaking van gevoelige of gereguleerde gegevens
• Integriteit: corruptie of ongeautoriseerde wijziging van gegevens of systemen
• Beschikbaarheid: verlies van toegang tot systemen of informatie
• Financieel: directe schade, herstelkosten, boetes, omzetderving
• Regelgevend en juridisch: schending van wet, contract of verwachtingen van toezichthouders
• Reputatie: verlies van vertrouwen van klanten, partners of het publiek
• Operationeel: verstoring van de levering van producten of diensten

U heeft niet elke dimensie nodig in elk programma. Kies de dimensies die uw doelstellingen weerspiegelen en vermeld dit in de criteria. Een SaaS-provider zal beschikbaarheid en vertrouwelijkheid zwaar laten wegen; een kliniek zal vertrouwelijkheid en regelgevende blootstelling zwaar laten wegen.

Schrijf voor elke dimensie ankerteksten voor Laag, Gemiddeld en Hoog, of voor elk punt op een 1-5 schaal. Bijvoorbeeld voor beschikbaarheid: Laag kan een korte uitval betekenen die alleen interne hulpmiddelen treft; Gemiddeld kan een langere uitval betekenen die sommige klanten treft; Hoog kan een langdurige uitval van een kerndienst betekenen. Als u numerieke drempelwaarden wilt, zoals bandbreedten voor financieel verlies, stel deze dan vast samen met de financiële afdeling en laat het management ze bevestigen. Kopieer nooit de bedragen van een ander bedrijf; ze zullen niet overeenkomen met uw omvang of bereidheid.

Bepaal vervolgens hoe meerdere dimensies worden gecombineerd tot één impactbeoordeling. Twee benaderingen domineren:

• Slechtste geval: De algehele impact is gelijk aan de hoogste dimensie. Eenvoudig, conservatief en zeer makkelijk uit te leggen aan een auditor.
• Gewogen: Elke dimensie krijgt een gewicht dat de bedrijfsprioriteit weerspiegelt. Genuanceerder, maar moeilijker te verdedigen en te onderhouden.

Voor de meeste organisaties is het slechtste geval de betere standaard. Het vermijdt de valkuil waarbij een ernstige vertrouwelijkheidsimpact wordt gemiddeld met een triviale operationele impact.

Leg tot slot uw aannames vast. Als u impact als Hoog heeft beoordeeld omdat het asset klantrecords bevat, vermeld dit dan en noteer waar het gegevensvolume vandaan komt. Impactbeoordelingen zonder vermelde aannames zien er willekeurig uit; met aannames zien ze eruit als beredeneerde conclusies.

5. Een risicomatrix kiezen: 3x3, 4x4 of 5x5

De matrix is de regel die een waarschijnlijkheidsbeoordeling en een impactbeoordeling omzet in een risiconiveau. De omvang is een afweging tussen gebruiksgemak en granulariteit.

• 3x3: Snelst toe te passen en het makkelijkst uit te leggen. Werkt goed voor kleine scopes of eerstejaars programma's, maar negen cellen groeperen veel verschillende risico's samen, waardoor prioritering onnauwkeurig kan aanvoelen.
• 4x4: Verwijdert de comfortabele middenoptie, waardoor beoordelaars gedwongen worden één kant op te leunen. Nuttig, maar minder gangbaar, waardoor templates schaarser zijn.
• 5x5: Biedt fijnere onderscheidingen en wordt breed erkend door auditors. Het nadeel is meer ruimte voor meningsverschillen tussen aangrenzende beoordelingen, waardoor sterke ankerteksten nodig zijn.

De beste praktijk onder practitioners geeft de voorkeur aan eenvoudige kwalitatieve of semi-kwantitatieve matrices, in 3x3 of 5x5 vorm, met begrijpelijke ankerteksten boven complexe numerieke schalen die moeilijk te verdedigen zijn. Wij zijn het daarmee eens. De matrix die een beoordelaar op een dinsdagmiddag identiek kan toepassen, is beter dan de slimme matrix die een spreadsheet nodig heeft om te interpreteren.

Gebruik voor auditbestendigheid categorische toewijzing in plaats van formules. In plaats van "risico is gelijk aan waarschijnlijkheid maal impact, dan een wegingscurve toepassen", schrijft u een tabel die aangeeft welke combinaties Laag, Gemiddeld, Hoog of Kritiek zijn. Vermenigvuldiging kan nog steeds onderliggend aanwezig zijn, maar de categorieën zijn wat u beheert. Onze 5x5 risicomatrix-template toont een versie die is gebouwd voor audits.

Elke categorie moet een gedefinieerde actie en eigenaar activeren. Een algemeen voorbeeld:

Een paar regels houden de toewijzing eerlijk:

• Elke cel in de matrix is aan precies één categorie toegewezen.
• Elke categorie is aan één standaardactie toegewezen.
• Uitzonderingen vereisen een schriftelijke onderbouwing en een benoemde goedkeurder.
• Eigenaren zijn personen, geen afdelingen.

Als uw matrix niet op één pagina kan worden samengevat, is hij waarschijnlijk te complex voor consistente toepassing.

6. Criteria en beoordelingsbewijzen documenteren voor auditors

Een verdedigbare beoordeling is er een die iemand anders kan reconstrueren. Dat betekent dat uw register voldoende context vastlegt om de redenering maanden later te kunnen herspelen. De minimumvelden zijn: asset, context, dreiging, kwetsbaarheid, bestaande beheersmaatregelen, waarschijnlijkheid, impact, score, eigenaar, datum, aannames en bewijsmateriaal.

Volg naast de velden ook deze praktijken:

1. Schrijf voor elke beoordeling een motivatie van één of twee zinnen. "Beoordeeld als Waarschijnlijk omdat phishing vorig jaar bij drie incidenten medewerkersmailboxen bereikte en bewustwordingstraining slechts jaarlijks plaatsvindt" is een motivatie. "Waarschijnlijk" alleen is dat niet.
2. Koppel elk risico aan de behandeling en aan de Verklaring van Toepasselijkheid. Leg vast welke Annex A-beheersmaatregel het aanpakt en waarom die maatregel is geselecteerd, zodat de keten van risico naar maatregel zichtbaar is.
3. Beheer versies en goedkeuringen. Nummer uw criteriadocument, registreer wijzigingen en bewaar eerdere versies. Auditors kunnen vragen welke versie van toepassing was toen een bepaalde beoordeling werd uitgevoerd.
4. Sla bewijsmateriaal op waar auditors het kunnen vinden. Incidenttickets, scanrapporten, dreigingsbriefings en notulen moeten worden gerefereerd vanuit het register, niet verspreid over inboxen.
5. Stel een herzieningscyclus in en benoem de triggers. Herzien de criteria periodiek, zoals implementatierichtlijnen doorgaans adviseren, en eerder na een groot incident, een significante wijziging in scope of technologie, een nieuwe regelgeving of een verschuiving in de bedrijfsstrategie.

Behandel het register als een levend document. Een register dat achttien maanden geleden prachtig was gevuld en sindsdien nooit is aangeraakt, is een auditbevinding in wording. Voor een volledige workflow rondom deze registraties, zie onze methodologiegids voor ISO 27001-risicobeoordeling.

Teams die criteria vertalen naar dagelijkse beveiligingsinspanning willen soms een begrijpelijke inleiding in de basisprincipes. Dit overzicht van websitebeveiligingsbasisprincipes behandelt praktische stappen voor kleine bedrijven en past goed bij het werk van maatregel-selectie dat volgt op uw beoordeling.

7. Risicocriteria koppelen aan behandelbeslissingen en de Verklaring van Toepasselijkheid

Criteria bewijzen hun waarde wanneer ze beslissingen sturen. De acceptatiedrempel vertelt u welke risico's u kunt accepteren en welke actie vereisen. De ISO 27001-risicobehandelrichtlijnen van ons team behandelen die stap in detail, en de logica is eenvoudig:

• Onder de drempel: accepteren, de acceptatie documenteren en monitoren.
• Op of boven de drempel: kies een behandeling: verminderen via beheersmaatregelen, overdragen via verzekering of contract, vermijden door de activiteit te staken, of, met managementgoedkeuring, accepteren ondanks de beoordeling.
• Boven de escalatielijn: doorsturen naar het topmanagement. Definieer die lijn in uw criteria zodat escalatie een regel is, geen afweging.

Wanneer u Annex A-beheersmaatregelen selecteert voor de Verklaring van Toepasselijkheid, koppel elke opname aan een risico, een beoordelingsresultaat of een wettelijke of contractuele vereiste. "Opgenomen omdat risico's R-014 en R-021 als Hoog zijn beoordeeld en deze maatregel de waarschijnlijkheid vermindert" is een onderbouwing die een auditor kan verifiëren. Uitsluitingen hebben ook redenen nodig.

Om behandeling uitvoerbaar te maken:

• Zet elke categorie om in een werkwachtrij: Kritiek eerst, dan Hoog, enzovoort.
• Wijs elke taak een eigenaar, een einddatum en een link naar de registerinvoer toe.
• Schat inspanning en kosten zodat plannen realistisch worden gefinancierd. Onze risicobehandelplan-template koppelt risico's aan Annex A-beheersmaatregelen en Verklaring van Toepasselijkheid-invoeren in een auditgereed format.
• Leg het restrisico na behandeling vast en bevestig dat het binnen de acceptatiedrempel valt.

Verandering is onvermijdelijk. Wanneer criteria, scope of bedrijfscontext veranderen, herbeoordeelt u getroffen risico's, herziet u behandelbeslissingen en werkt u de Verklaring van Toepasselijkheid bij. Houd een wijzigingslogboek bij met wat er is veranderd en wie het heeft goedgekeurd. Auditors bestraffen zelden verandering; ze bestraffen onverklaarde verandering.

8. Aanpasbare schaaltemplates en een uitgewerkt voorbeeld

Hier volgt een 3x3-matrix met begrijpelijke ankerteksten die u in uw criteriadocument kunt overnemen.

En een 5x5-versie, met scorebanden toegepast op het product van de twee beoordelingen:

Uitgewerkt voorbeeld. De onderstaande invoer is illustratief en geen marktdata.

Merk op hoe de motivatie bewijsmateriaal aanhaalt en de actie de drempel aanhaalt. Die combinatie is wat een auditor wil zien.

Voorbeeld goedkeuringstekst: "Het topmanagement heeft de informatiebeveiligingsrisicocriteria herzien en goedgekeurd, inclusief de waarschijnlijkheids- en impactschalen en de risicoaanvaardingsdrempel, voor de genoemde ISMS-scope. Risico's die als Hoog of Kritiek zijn beoordeeld, vereisen een gedocumenteerd behandelplan, en behandelbeslissingen zullen worden weerspiegeld in de Verklaring van Toepasselijkheid. Goedgekeurd door [naam, functie], op [datum]." Vul de onderdelen tussen haakjes in met echte namen en datums voordat u het archiveert.

9. Waarom u op deze richtlijnen kunt vertrouwen

De aanpak in dit artikel volgt de structuur van ISO/IEC 27001, de richtlijnen van ISO/IEC 27005 en de risicoconcepten in NIST SP 800-30. ISO/IEC 27001 levert de vereiste dat criteria bestaan en consistent worden toegepast. ISO/IEC 27005 levert de verwachting dat u evaluatie-, impact- en aanvaardingscriteria definieert die passen bij uw context. NIST SP 800-30 levert de risicomodelvocabulaire en voorbeelddefinities van schalen waarmee begrijpelijke ankerteksten eenvoudig te schrijven zijn.

Wij bouwen ISMS Calculator op dezelfde principes. Ons platform biedt organisatiespecifieke schattingen, modelreferentievergelijkingen, een volwassenheidsbeoordeling over ISO-domeinen, templates en exporteerbare documentatie. Onze methodologie is traceerbaar en versioned, met transparante aannames die u kunt inspecteren en uitdagen.

U kunt beginnen met wat wij gratis aanbieden. Onze gratis check van 2 minuten geeft u snel inzicht in uw gereedheid, en onze template-artikelen over de risicomatrix en het behandelplan zijn klaar om aan te passen. Gebruik ze als startpunt en pas vervolgens de ankerteksten aan uw eigen bedrijf aan.

10. Mijn advies voor het uitrollen van criteria

Begin klein. Kies één bedrijfsonderdeel of één domein, pas uw conceptmatrix daar toe en verkrijg managementgoedkeuring voor die pilot voordat u de scope uitbreidt. Itereer op de ankerteksten en standaardiseer daarna.

Test uw schaal aan de hand van de werkelijkheid voordat u zich vastlegt. Neem een aantal incidenten die uw organisatie daadwerkelijk heeft meegemaakt en beoordeel ze met uw conceptankerteksten. Als een pijnlijke uitval in de kolom Laag terechtkomt, kloppen uw ankerteksten niet, en dat kost u veel minder als u dat in een pilot ontdekt dan tijdens een audit. Weersta de drang om meer precisie toe te voegen. Elk extra schaalpunt is een nieuwe plek waar twee beoordelaars het oneens kunnen zijn.

— Martin

11. Hoe wij u helpen verdedigbare criteria sneller te documenteren

Criteria met de hand schrijven werkt, maar versioning, benchmarking en het exporteren van het bewijsmateriaal is waar uren verdwijnen. Wij hebben ISMS Calculator gebouwd om die last van u af te nemen. Ons hulpmiddel biedt organisatiespecifieke schattingen, modelreferentievergelijkingen, volwassenheidstoewijzing over ISO-domeinen en exporteerbare rapporten met een traceerbare, geversioneerde methodologie. Gebruik het naast uw handmatige templates om documentatie consistent en auditgereed te houden. Zodra uw risico's zijn beoordeeld, schat onze ISO 27001-kostencalculator de implementatiekosten en -inspanning van ISO 27001, en onze gratis check van 2 minuten laat zien waar u vandaag staat.

Begin met de gratis gereedheidcheck van 2 minuten voor een snel inzicht in uw gereedheid.

FAQ

Wat zijn risicocriteria in ISO 27001?

Risicocriteria zijn de gedocumenteerde regels die u gebruikt om risico's te evalueren: de schalen voor waarschijnlijkheid en impact, de methode om ze te combineren en de drempelwaarden die bepalen of een risico aanvaardbaar is. ISO/IEC 27001 verwacht dat ze worden gedefinieerd en onderhouden zodat beoordelingen consistent en vergelijkbaar zijn.

Wat is de ISO-norm voor risico?

Voor informatiebeveiliging stelt ISO/IEC 27001 de vereiste om risico's te beoordelen en te behandelen binnen een ISMS, en biedt ISO/IEC 27005 richtlijnen voor het beheer van dat risico. ISO/IEC 27005 schrijft geen methode voor, zodat u criteria kunt definiëren die passen bij uw context.

Wat zijn de stappen van een standaard beveiligingsrisicobeoordeling?

De meeste modellen volgen dezelfde opbouw: voorbereiding, identificatie van assets, dreigingen en kwetsbaarheden, beoordeling van waarschijnlijkheid en impact, bepaling van het risiconiveau, communicatie van resultaten en onderhoud van de beoordeling. De NIST-gids voor risicobeoordelingen beschrijft deze levenscyclus van voorbereiding, uitvoering en onderhoud.

Hoe groot moet mijn risicomatrix zijn?

Kies de kleinste matrix die de risico's die u wilt prioriteren nog steeds van elkaar onderscheidt. Een 3x3 is geschikt voor kleine scopes en eerstejaars programma's, terwijl een 5x5 fijnere rangschikking biedt als uw ankerteksten sterk zijn. Consistentie telt zwaarder dan omvang.

Bronnen

• NIST Special Publication 800-30 Revisie 1, Gids voor het uitvoeren van risicobeoordelingen
• Guide for Conducting Risk Assessments | NIST
• ISO/IEC 27001:2022 - Informatiebeveiligingsbeheersystemen
• INTERNATIONAL STANDARD

Aanbevolen

• ISO 27001 Risicomatrix: 5×5 Template voor Auditgereed InfoSec
• Auditgereed ISO 27001 Risicoregister: Kopieerbare Excel-rijen, Annex A-koppeling
• Auditgereed ISO 27001 Risicobehandelplan Template voor ISMS-teams
• ISO 27001 Risicobeoordeling: Een Volledige Methodologiegids