Software voor ISO 27001-risicoanalyse: waar let je op?

De risicoanalyse is het hart van ISO 27001. Toch staat hij bij veel organisaties in een Excel-bestand met tabbladen die alleen de maker nog begrijpt. Dat werkt, tot de auditor vraagt welke maatregel bij welk risico hoort, of waarom een risico vorig jaar nog rood was en nu groen. Zoek je software voor je ISO 27001-risicoanalyse en risicobeheer (in het Engels vaak ISO 27001 risk assessment software of risk management software genoemd)? Dan lees je hier wat de norm vraagt en waar je bij de keuze op let.

Wat vraagt ISO 27001 van je risicoanalyse?

ISO 27001 is risicogestuurd. Je kiest je maatregelen niet uit een lijstje, je leidt ze af uit je risico's. De norm stelt daar een paar concrete eisen aan:

• Risicobeoordeling (6.1.2): je stelt criteria vast voor het beoordelen en accepteren van risico's, identificeert risico's voor vertrouwelijkheid, integriteit en beschikbaarheid, wijst per risico een eigenaar aan en bepaalt kans en gevolg.
• Risicobehandeling (6.1.3): je kiest per risico een behandeling, bepaalt welke beheersmaatregelen daarvoor nodig zijn en vergelijkt die met Bijlage A. Het resultaat leg je vast in de verklaring van toepasselijkheid.
• Uitvoering (8.2 en 8.3): je herhaalt de risicobeoordeling met geplande tussenpozen en bij belangrijke wijzigingen, en je voert het risicobehandelplan ook echt uit.

Een methode schrijft ISO 27001 niet voor. Wel moet je aanpak herhaalbaar zijn en tot vergelijkbare uitkomsten leiden. Meer over wat de norm verder vraagt, lees je op onze pagina ISO 27001 uitgelegd.

Waarom Excel op een gegeven moment knelt

Laten we eerlijk zijn: voor een eerste risicoanalyse is Excel helemaal niet verkeerd. Je hebt het al, iedereen kan ermee overweg en de auditor accepteert het. Het knelt pas later. Een risico verwijst naar een maatregel in een ander tabblad. Die maatregel staat ook in je verklaring van toepasselijkheid, in een ander bestand. De eigenaar is inmiddels vertrokken. En na een incident vorige maand had je de analyse eigenlijk moeten bijwerken, maar niemand weet meer in welke versie.

Het probleem is dus niet het rekenblad zelf. Het probleem is de samenhang. Een ISO 27001-risicoanalyse is geen los document, het is een netwerk van risico's, maatregelen, eigenaren, incidenten en auditbevindingen. Precies dat netwerk raak je in losse bestanden kwijt.

Waar let je op bij de keuze?

Er is genoeg software die belooft je ISO 27001-risicomanagement te regelen. Deze punten maken het verschil:

1. Een herkenbare methodiek: kun je werken met een methode als MAPGooD, RAVIB of de 4-O-systematiek, of moet je je aanpassen aan wat de leverancier heeft bedacht? Een dreigingsmodel helpt je om niet alleen de risico's te zien die je toevallig al kent.
2. Koppeling tussen risico en maatregel: zie je bij elk risico welke maatregelen het afdekken, en andersom bij elke maatregel welke risico's eraan hangen?
3. De verklaring van toepasselijkheid: wordt die opgebouwd uit dezelfde gegevens, of houd je hem apart bij? Twee bronnen betekent vroeg of laat twee waarheden.
4. Eigenaren en acties: krijgt elk risico een eigenaar, en worden behandelacties met een deadline gevolgd?
5. Historie: kun je laten zien hoe een risico zich over de tijd heeft ontwikkeld? Een auditor vraagt daar graag naar.
6. Actueel houden: herinnert de software je aan de periodieke herbeoordeling, en zie je welke risico's geraakt worden door een nieuw incident of een auditbevinding?
7. Meerdere normen: werk je ook met NEN 7510, de BIO of de Cyberbeveiligingswet? Dan wil je dezelfde risicoanalyse aan meerdere kaders koppelen, niet per norm opnieuw beginnen.

En kijk ook even naar het prijsmodel. Risicomanagement is bij sommige leveranciers een losse module bovenop de basislicentie. In onze blog wat kost managementsysteem-software? leggen we uit waar je op moet letten.

Zo werkt het in Normity

In Normity leg je je risico's vast met de methodiek die bij je past, waaronder MAPGooD, RAVIB en de 4-O-systematiek. Per risico beoordeel je kans en impact, wijs je een eigenaar aan en kies je een behandeling. De maatregelen die je koppelt, komen rechtstreeks in je verklaring van toepasselijkheid terecht. Wil je op weg geholpen worden, dan doet de AI-assistent suggesties voor risico's en kansen, die jij accepteert of verwijdert.

Omdat alles in hetzelfde managementsysteem staat, zie je de verbanden direct: een incident, een auditbevinding of een nieuwe leverancier leidt je terug naar de risico's die ermee samenhangen. Dat is het verschil tussen risico's documenteren en risico's beheren. Meer over de opzet lees je bij risicomanagement en op onze pagina over ISMS-software. En wil je weten hoe je een analyse goed opbouwt, los van welke tool dan ook? Lees dan de perfecte risicoanalyse.

Kortom: software maakt je risicoanalyse niet beter dan de mensen die hem invullen. Wel zorgt goede software ervoor dat de analyse blijft leven na de audit. Benieuwd hoe dat er bij jou uit zou zien? Vraag een demo aan, dan kijken we samen naar je huidige opzet.