Risicoanalyse voor ISO 27001: methode, register en wat een auditor wil zien

Een risicoanalyse voor ISO 27001 is geen lijst met dreigingen maar een vastgelegde methode die je herhaalbaar toepast. Hoofdstuk 6.1.2 van de norm vraagt je het proces en de criteria op te schrijven voordat je begint, 6.1.3 om per risico een behandelkeuze te maken en die te verantwoorden in de Verklaring van Toepasselijkheid, en 8.2 en 8.3 om beide op geplande tijdstippen te herhalen en de resultaten te bewaren. Een auditor beoordeelt niet of je lijst compleet oogt. Hij toetst of het proces bestaat, of elk risico een eigenaar heeft en of iemand anders met dezelfde methode tot dezelfde uitkomst zou komen.

Wat de norm eist, in vier hoofdstukken

De risicoanalyse zit op twee plekken in ISO/IEC 27001:2022. In hoofdstuk 6 leg je vast hoe je het doet, in hoofdstuk 8 doe je het en bewaar je het bewijs. Dat onderscheid verklaart de meeste bevindingen: organisaties hebben wel een risicolijst, maar geen vastgelegd proces waar die lijst uit volgt.

• 6.1.2 risicobeoordeling. Je legt een proces vast met criteria voor risicoacceptatie en criteria voor het uitvoeren van beoordelingen, je identificeert risico's, je wijst per risico een eigenaar aan en je bepaalt kans, gevolg en risiconiveau. Het proces moet herhaalbare en vergelijkbare resultaten opleveren.
• 6.1.3 risicobehandeling. Je kiest per risico een behandeloptie, bepaalt welke beheersmaatregelen daarbij horen, vergelijkt die met bijlage A om te controleren of je niets bent vergeten, stelt de Verklaring van Toepasselijkheid op en laat het risicobehandelplan plus het restrisico goedkeuren door de risico-eigenaar.
• 8.2 uitvoeren van de beoordeling. Je voert de beoordeling uit op geplande tijdstippen en opnieuw bij belangrijke wijzigingen. De resultaten bewaar je als gedocumenteerde informatie.
• 8.3 uitvoeren van de behandeling. Je voert het risicobehandelplan uit en bewaart de resultaten daarvan. Gepland is niet hetzelfde als uitgevoerd, en dat is precies wat hier wordt getoetst.

Bijlage A van de 2022-versie bevat 93 beheersmaatregelen in vier thema's: organisatorisch, mensen, fysiek en technologisch. Die bijlage is een controlelijst achteraf, geen startpunt. Wie begint bij bijlage A krijgt een Verklaring van Toepasselijkheid die niet terug te voeren is op enige risicobeoordeling, en dat is een van de vaakst gemaakte fouten. Wat de norm verder eist staat in onze gids over ISO 27001.

De methode: eerst opschrijven, dan pas gebruiken

ISO 27001 schrijft geen methode voor. Wel bestaat er een ISO-richtlijn die het proces uitwerkt: ISO/IEC 27005 voor informatiebeveiligingsrisicomanagement. ENISA beschrijft dat proces in zijn compendium van risicomanagementraamwerken als een keten van context vaststellen, risico's beoordelen (identificeren, inschatten, evalueren), behandelen, accepteren, communiceren en monitoren. Risico-inschatting mag kwalitatief, kwantitatief of gemengd. De norm geeft geen rekenformule maar wel voorbeelden van schalen en matrices.

Dat is bruikbaar, mits je vier dingen op papier zet voordat je de eerste workshop plant.

1. Je schaal. Hoeveel niveaus voor kans en gevolg, en wat betekent elk niveau in gewone taal. "Impact hoog" is pas bruikbaar als eronder staat: uitval van de primaire dienst langer dan vier uur, of een datalek met bijzondere persoonsgegevens.
2. Je acceptatiecriterium. Vanaf welk niveau moet een risico behandeld worden en wie mag daarvan afwijken. Zonder dit criterium is elke behandelkeuze achteraf uit te leggen en dus niet toetsbaar.
3. Je invalshoek. Beoordeel je per bedrijfsmiddel, per proces of per scenario. Alle drie zijn verdedigbaar. Wisselen halverwege is dat niet, want dan zijn de uitkomsten onderling niet meer vergelijkbaar.
4. Je ritme. Hoe vaak herhaal je de beoordeling en welke gebeurtenissen zijn aanleiding voor een tussentijdse ronde. Denk aan een nieuwe leverancier voor een primair proces, een verhuizing naar de cloud of een incident.

De vier behandelopties zijn overal hetzelfde, ook al verschillen de woorden per norm: het risico verminderen, vermijden, delen met een ander (verzekering of uitbesteding) of bewust accepteren. Alleen de eerste optie levert beheersmaatregelen op. De andere drie leveren een besluit op, en dat besluit moet net zo goed vastliggen.

Het risicoregister: tien kolommen die het werk doen

De norm schrijft geen format voor. Wat hij wel eist, is dat de resultaten van de beoordeling en van de behandeling als gedocumenteerde informatie bewaard blijven. In de praktijk werkt een register met deze kolommen, of je dat nu in een spreadsheet of in een tool bijhoudt.

Kolommen van een risicoregister dat een ISO 27001-audit doorstaat, met per kolom waar de auditor naar kijkt.

Kolom	Wat erin staat	Waar de auditor op let
Risico	Oorzaak, gebeurtenis en gevolg in een zin	Of er een gebeurtenis staat en niet alleen een dreigingswoord als "phishing"
Geraakt proces of bedrijfsmiddel	Waar het risico zich voordoet	Of het binnen de vastgelegde scope valt
Kans en gevolg	Niveau volgens je eigen schaal	Of overal dezelfde schaal is gebruikt
Risiconiveau	De uitkomst van kans maal gevolg	Of het volgt uit de schaal en niet uit gevoel
Risico-eigenaar	Naam en rol, geen afdeling	Of die persoon het besluit ook mag nemen
Behandelkeuze	Verminderen, vermijden, delen of accepteren	Of de keuze onderbouwd is met een reden
Maatregelen	Wat je treft, met verwijzing naar bijlage A	Of de Verklaring van Toepasselijkheid hetzelfde zegt
Restrisico	Het niveau dat overblijft na behandeling	Of het onder je acceptatiecriterium ligt
Goedkeuring	Wie het restrisico accepteerde en wanneer	Of de handtekening van de risico-eigenaar er is
Herbeoordeling	De datum van de volgende ronde	Of die datum niet in het verleden ligt

Twee kolommen zijn het vaakst leeg: de risico-eigenaar en de goedkeuring van het restrisico. Precies die twee maken van een lijst een besluit.

Een risico accepteren is een besluit, geen gebrek

Het hardnekkigste misverstand is dat een geaccepteerd risico een openstaand punt is. Dat is het niet. De norm noemt acceptatie een volwaardige behandeloptie en eist dat je vooraf criteria vastlegt voor wanneer acceptatie mag. Een register waarin alles op "verminderen" staat, is geen teken van volwassenheid maar van een organisatie die geen keuzes durft vast te leggen.

De Nederlandse wetgever denkt er hetzelfde over. Het Cyberbeveiligingsbesluit, de uitwerking van de Cyberbeveiligingswet, verplicht entiteiten in artikel 7 tot vastgesteld beleid over risicomanagement dat ten minste twee dingen bevat: een risicomanagementmethodiek en criteria voor risicoacceptatie. De wettekst staat op wetten.overheid.nl. De wet gaat er dus van uit dat je risico's accepteert. Ze wil alleen weten volgens welke maatstaf.

Een acceptatie die standhoudt bevat vier elementen: het risiconiveau dat je accepteert, de reden (kosten die niet in verhouding staan, een maatregel die het proces onwerkbaar maakt, een tijdelijke situatie), de naam van degene die accepteert en de datum waarop het besluit opnieuw wordt bekeken. Zonder herbeoordelingsdatum is het geen acceptatie maar uitstel, en dat ziet een auditor.

Wat een auditor daadwerkelijk toetst

In fase 1 kijkt de certificerende instelling naar de documenten: het beoordelingsproces, de scope, het beleid, de Verklaring van Toepasselijkheid. In fase 2 wordt het concreet. Reken op deze vragen.

• Laat de methode zien die je hebt gebruikt. Bestaat er een beschreven proces met criteria, en dateert dat van voor de beoordeling zelf?
• Wie is de eigenaar van dit risico en heeft die persoon het restrisico goedgekeurd? Vraag die aan een willekeurige regel in het register.
• Waarom sluit je deze beheersmaatregel uit? Elke uitsluiting in de Verklaring van Toepasselijkheid moet terug te voeren zijn op een risico of op het ontbreken daarvan.
• Wanneer is deze beoordeling voor het laatst herhaald? En is dat gebeurd na de wijzigingen die dit jaar zijn doorgevoerd?
• Wat is er van het behandelplan uitgevoerd? Toon het bewijs, niet de planning.
• Waar in de directiebeoordeling zijn deze risico's besproken? Het verslag moet besluiten bevatten, geen samenvatting.

Wat hier misgaat is zelden de inhoud van de risico's. Het is dat de beoordeling een eenmalig project was in plaats van een proces. Een register waarvan de laatste wijziging veertien maanden geleden is levert een bevinding op, ook als de risico's kloppen.

Wat dit kost aan tijd

De norm zegt niets over doorlooptijd. Als vuistregel uit de praktijk, geen eis uit ISO 27001: een eerste beoordeling voor een afgebakende scope kost twee tot vier werksessies met proceseigenaren plus enkele dagen uitwerking. Het onderhoud daarna is minder werk dan de eerste ronde, maar het houdt nooit op: reken op een volledige herbeoordeling per jaar en een tussentijdse ronde bij grote wijzigingen. In onze doorrekening van wat een ISO 27001-certificering kost staat wat dat aan interne uren betekent naast de auditrekening.

Waar je vandaag mee begint

Niet bij een lijst dreigingen. Begin bij de scope, want die bepaalt welke processen en systemen je beoordeelt. Hoe je die afbakent staat in ons artikel over de scope van je ISMS. Schrijf daarna je schaal en je acceptatiecriterium op, in een half A4, en laat de directie dat vaststellen. Pas dan plan je de eerste sessie.

Voor het technische deel van je risicobeeld hoef je niet te wachten. Onze gratis domeinscan toetst de publiek zichtbare instellingen van je domein, van TLS en security headers tot DNSSEC en e-mailbeveiliging, en laat zien welke uitkomsten meetellen als bewijs voor beheersmaatregelen uit ISO 27001 en voor de zorgplicht uit de Cyberbeveiligingswet. Dat levert geen risicoanalyse op, maar wel een aantal ingevulde regels in je register op de dag dat je begint.