Hoe voer ik een risicoanalyse uit voor ISO 27001?

Een risicoanalyse uitvoeren voor ISO 27001 is een van de meest kritieke stappen in het opzetten van een werkend informatiebeveiligingsmanagementsysteem. De norm vereist dat je risico’s systematisch identificeert, beoordeelt en beheerst. Toch ervaren veel organisaties dit onderdeel als complex of abstract. In deze handleiding doorloop je stap voor stap hoe je een ISO 27001 risicobeoordeling uitvoert die niet alleen voldoet aan de norm, maar ook daadwerkelijk bruikbaar is in de praktijk.

Wat je na het lezen kunt doen: je assets inventariseren, dreigingen en kwetsbaarheden in kaart brengen, risico’s kwantificeren en prioriteren, en een behandelplan opstellen dat aansluit bij jouw organisatie. Elke stap bevat concrete acties en een controlepunt om te verifiëren of je op de goede weg zit.

Wat je nodig hebt vóór de risicoanalyse

Voordat je begint met de eigenlijke informatiebeveiligingsrisicoanalyse, is het belangrijk om een aantal randvoorwaarden op orde te hebben. Zonder deze basis loop je het risico dat de analyse oppervlakkig blijft of later opnieuw gedaan moet worden. Bereid de volgende elementen voor:

• Scope van het ISMS: Bepaal welke afdelingen, processen, locaties en systemen vallen binnen de scope van je ISO 27001 implementatie. Wat buiten scope valt, hoef je niet te analyseren.
• Risicobeoordelingsmethodiek: Kies een methode om risico’s te berekenen, bijvoorbeeld op basis van kans maal impact. Leg deze methode vast voordat je begint, zodat resultaten vergelijkbaar en herhaalbaar zijn.
• Risicobereidheid (risk appetite): Stel vast welk risiconiveau de organisatie acceptabel vindt. Dit bepaalt later welke risico’s behandeld moeten worden en welke geaccepteerd kunnen worden.
• Betrokken stakeholders: Zorg dat proceseigenaren, de IT-verantwoordelijke en het management beschikbaar zijn. Zij leveren essentiële input over assets en dreigingen.
• Documentatiesjablonen: Richt een register in voor assets, dreigingen, risico’s en maatregelen. Dit kan in een spreadsheet of een gespecialiseerde ISMS-tool.

Controleer of de scope schriftelijk is vastgelegd en goedgekeurd door het management. Zonder formele goedkeuring mist de risicoanalyse draagvlak en voldoet ze niet aan de ISO-vereisten voor betrokkenheid van de directie.

Identificeer en classificeer je informatieassets

De risicoanalyse begint met een volledig overzicht van je informatieassets. Een asset is alles wat waarde heeft voor de organisatie en dat beschermd moet worden: gegevens, systemen, processen, maar ook mensen en fysieke locaties. Inventariseer systematisch per afdeling of proces welke assets aanwezig zijn.

1. Stel een assetlijst op per categorie: informatiesystemen, databases, fysieke dragers, softwareapplicaties, netwerken en personeel.
2. Wijs voor elke asset een eigenaar aan, een persoon die verantwoordelijk is voor de beveiliging ervan.
3. Classificeer elke asset op basis van vertrouwelijkheid, integriteit en beschikbaarheid (de BIV-classificatie). Gebruik een eenvoudige schaal, bijvoorbeeld laag, midden en hoog.
4. Leg de classificatie en eigenaar vast in je assetregister.

Na deze stap beschik je over een gestructureerd assetregister met een BIV-waarde per asset. Controleer of alle kritieke bedrijfsprocessen zijn gedekt. Als een proces ontbreekt, is de kans groot dat ook de bijbehorende risico’s over het hoofd worden gezien.

Breng dreigingen en kwetsbaarheden in kaart

Met je assetregister als vertrekpunt ga je per asset bepalen welke dreigingen relevant zijn en welke kwetsbaarheden de organisatie blootstelt aan die dreigingen. Dit is het analytische hart van de risicoanalyse ISO 27001. Gebruik gestandaardiseerde dreigingscatalogi als referentie, zoals die van het NCSC of de Annex A van ISO 27001 zelf.

1. Benoem per asset minimaal drie tot vijf relevante dreigingen, zoals ransomware, menselijke fouten, ongeautoriseerde toegang of uitval van systemen.
2. Koppel aan elke dreiging de bijbehorende kwetsbaarheid binnen de organisatie. Bijvoorbeeld: de dreiging “phishing” wordt versterkt door de kwetsbaarheid “gebrek aan bewustzijnstraining bij medewerkers”.
3. Beoordeel per combinatie van asset, dreiging en kwetsbaarheid de huidige beheersmaatregelen die al aanwezig zijn.

Verifieer na deze stap of elke hoog geclassificeerde asset uit het assetregister minimaal één dreiging en kwetsbaarheid heeft gekregen. Een asset zonder gekoppeld risico is een signaal dat de analyse onvolledig is. Betrek proceseigenaren actief bij deze stap, want zij kennen de dagelijkse praktijk het beste.

Bereken en prioriteer de risico’s

Nu je dreigingen en kwetsbaarheden hebt vastgesteld, is het tijd om elk risico te kwantificeren. Gebruik de methodiek die je vooraf hebt vastgelegd. De meest gebruikte aanpak binnen ISO 27001 implementatietrajecten is een risicowaarde berekenen op basis van kans en impact.

1. Stel de kans in dat de dreiging zich voordoet, rekening houdend met bestaande maatregelen. Gebruik een schaal van 1 tot 5, waarbij 1 staat voor zeer onwaarschijnlijk en 5 voor vrijwel zeker.
2. Bepaal de impact als het risico werkelijkheid wordt. Beoordeel dit op de BIV-dimensies: wat is de schade voor vertrouwelijkheid, integriteit en beschikbaarheid? Gebruik dezelfde 1-tot-5-schaal.
3. Bereken de risicowaarde: kans vermenigvuldigd met impact. Een risico met kans 4 en impact 5 krijgt een score van 20.
4. Rangschik alle risico’s van hoog naar laag en markeer welke risico’s boven de risicobereidheid van de organisatie uitkomen.

Na deze stap heb je een geprioriteerde risicolijst. Controleer of de hoogst scorende risico’s overeenkomen met wat proceseigenaren en het management als kritiek ervaren. Als er grote afwijkingen zijn, herijk dan de kans- of impactbeoordeling. De risicolijst is de directe input voor de volgende stap.

Kies en documenteer risicobehandelingsopties

Voor elk risico dat boven de risicobereidheidsgrens uitkomt, moet je een behandeloptie kiezen. ISO 27001 onderscheidt vier mogelijkheden: beheersen, accepteren, vermijden of overdragen. De keuze hangt af van de aard van het risico, de verhouding tussen de inspanning die maatregelen vragen en de mogelijke schade, en de strategische prioriteiten van de organisatie.

• Beheersen: Implementeer een maatregel die de kans of impact verlaagt. Denk aan toegangsbeheer, encryptie of bewustzijnstraining.
• Accepteren: Het risico valt binnen de risicobereidheid, of de inspanning die beheersing vraagt weegt niet op tegen de mogelijke schade. Leg de acceptatie formeel vast met handtekening van het management.
• Vermijden: Stop de activiteit die het risico veroorzaakt, of kies een alternatieve werkwijze die het risico elimineert.
• Overdragen: Verschuif het risico naar een derde partij, bijvoorbeeld via een verzekering of een verwerkersovereenkomst met een leverancier.

Leg per risico de gekozen behandeloptie, de verantwoordelijke persoon en de geplande einddatum vast in een risicobehandelingsplan. Dit plan is een verplicht document onder ISO 27001 en vormt de brug tussen de analyse en de daadwerkelijke implementatie van maatregelen. Controleer of elk risico boven de grens een eigenaar en een deadline heeft. Risico’s zonder eigenaar worden niet opgepakt.

Houd de risicoanalyse actueel na de eerste uitvoering

Een ISO 27001 risicobeoordeling is geen eenmalige exercitie. De norm vereist dat je de analyse periodiek herhaalt en bijwerkt bij significante wijzigingen in de organisatie of het dreigingslandschap. Behandel de risicoanalyse als een levend document, niet als een archiefstuk.

1. Plan minimaal één volledige herziening per jaar in, gekoppeld aan de managementreview.
2. Actualiseer de analyse direct bij organisatiewijzigingen: nieuwe systemen, fusies, gewijzigde processen of nieuwe leveranciers.
3. Voeg nieuwe dreigingen toe wanneer het dreigingslandschap verandert, bijvoorbeeld door nieuwe vormen van cybercriminaliteit of gewijzigde wet- en regelgeving.
4. Controleer of eerder gekozen maatregelen daadwerkelijk zijn geïmplementeerd en of ze het gewenste effect hebben gehad.

Gebruik de interne audit als moment om de volledigheid en actualiteit van de risicoanalyse te toetsen. Een interne auditor kan objectief beoordelen of de analyse aansluit bij de werkelijke situatie en of het risicobehandelingsplan wordt nageleefd. Na elke cyclus van beoordelen en bijwerken is de analyse sterker en de organisatie beter beschermd.

Hoe Kwinzo helpt bij de risicoanalyse voor ISO 27001

Een risicoanalyse opzetten die zowel voldoet aan de norm als praktisch bruikbaar is, vraagt om structuur, ervaring en de juiste hulpmiddelen. Wij begeleiden organisaties in zorg, ICT en onderwijs bij het volledige ISO 27001 traject, inclusief de risicobeoordeling. Dit is wat we daarbij bieden:

• Bewezen methodiek: We werken met een gestandaardiseerde aanpak die is afgestemd op jouw branche en bedrijfsvoering, zodat de analyse efficiënt verloopt zonder in te leveren op kwaliteit.
• Eigen ISMS-tool: Onze tool ondersteunt het vastleggen van assets, risico’s en maatregelen in een overzichtelijk register dat direct klaar is voor de externe audit.
• Persoonlijke begeleiding: Onze consultants werken samen met jouw proceseigenaren en management om de analyse inhoudelijk sterk te maken.
• Interne audit als generale repetitie: We voeren een interne audit uit om te toetsen of de risicoanalyse volledig en actueel is, voordat de externe auditor aanklopt.
• Maandelijkse workshops: Via onze Security Officer workshops verdiepen we samen kennis over risicomanagement en de praktische toepassing van ISO-vereisten.

Wil je weten hoe wij jouw organisatie kunnen ondersteunen bij de risicoanalyse en het volledige ISO 27001 traject? Neem contact met ons op voor een vrijblijvend adviesgesprek.