Stappenplan - Risicoanalyses

In Normity kun je al je risicoanalyses beheren. Daarvoor is een aparte module beschikbaar. Je kunt daarbij zoveel risicoanalyses vastleggen als je zelf wilt. Door toepassing van één van de beschikbare dreigingsmodellen kun je bovendien snel de belangrijkste risico's identificeren. Hieronder nemen we je stapsgewijs mee bij het vastleggen van de resultaten van een risicoanalyse.

Het resultaat van een risicoanalyse is over het algemeen een set geconstateerde risico's. Deze gaan we in Normity vastleggen. We gaan er hierbij vanuit dat alle risico's bij elkaar horen, maar je kunt in Normity ook losse risico's vastleggen. Zo'n risico bestaat in de praktijk dan weer uit zaken als een aanpak, een status, een type, voortgang, documenten, acties die uit het risico voortvloeien etc. etc. Al deze zaken leg je in Normity vast.

---

Risicoanalyse

Een risicoanalyse bestaat uit een set risico's. Je start een risicoanalyse als volgt:

• Klik in het menu op 'Risicoanalyse'
• Klik in het submenu op 'Risicoanalyse'
• Klik op de knop 'Nieuw'

We gaan nu een risicoanalyse aanmaken. We geven hierbij relevante informatie op als de verantwoordelijke, het gekozen dreigingsmodel, de scope en of aan de risico's een BIV classificatie gekoppeld gaat worden. Hebben we dat allemaal gedaan, dan kunnen we starten met het koppelen van risico's.

---

Risico's koppelen

Voor het proces maakt het uit of je gebruik maakt van een dreigingsmodel (zie hieronder) of niet. Heb je gekozen voor een dreigingsmodel, dan kies je op het tweede tabblad 'dreigingen' steeds in het linkerdeel een dreiging uit het model, waarna je de informatie aanvult in het rechterdeel. Heb je niet voor een dreigingsmodel gekozen, dan vul je alleen het rechterdeel in.

In het tabblad 'Bestaande risico's' kun je vervolgens risico's toevoegen die al in eerdere risicoanalyses zijn geconstateerd. Op die manier bouw je een risicoanalyse op met zowel bestaande risico's als nieuwe risico's. In het tabblad 'Risico's' vind je het overzicht van al deze risico's.

---

Dreigingsmodellen

Het is goed om hier even stil te staan bij de dreigingsmodellen. Een dreigingsmodel is eigenlijk een verzameling van veralgemeniseerde risico's voor een bepaald onderwerp. In de praktijk zijn er nogal wat dreigingsmodellen, en Normity ondersteunt er een groot aantal, waaronder:

• MAPGOOD
• RAVIB
• OWASP TOP 10
• LINDDUN GO
• RISMAN
• DATA LIFE CYCLE

Zo'n dreigingsmodel is handig, omdat het je helpt bij het vaststellen van de risico's. Het voorkomt dat je je teveel focust op enkele onderwerpen, en andere onderwerpen (al dan niet bewust) links laat liggen. Het helpt je met andere woorden om het grotere plaatje voor ogen te houden.

---

Voortgang

In Normity kun je de voortgang bij een risico vastleggen. Een veelgebruikte formule om een risico te kunnen beoordelen is kans x impact. Deze kan natuurlijk in de tijd veranderen, vooral door maatregelen die je neemt. En dat wil je natuurlijk wel graag goed kunnen bijhouden. In Normity kun je deze voortgang vastleggen. Dit doe je als volgt:

• Klik in het menu op 'Risicoanalyse'
• Klik in het submenu op 'Risico'
• Open het betreffende risico
• Ga naar het tabblad 'Voortgang'

---

Maatregelen

Aan een risico kun je maatregelen en acties koppelen. Eigenlijk zijn maatregelen hier de normelementen. Kortom: bij welke normelementen hoort een risico? Dit leg je als volgt vast:

• Klik in het menu op 'Risicoanalyse'
• Klik in het submenu op 'Risico'
• Open het betreffende risico
• Ga naar het tabblad 'Maatregelen'

Welke maatregelen je koppelt aan een risico, bepaal je zelf. Heb je de RAVIB methodiek toegepast met de BIO of ISO 27001 norm, dan stelt Normity zelf de maatregelen voor die bij jouw risico's horen. Superhandig om je op weg te helpen. Uiteindelijk kies je het natuurlijk nog steeds zelf.

---

Kansen

Heb je het over risico's, dan heb je het ook vaak over kansen. En in de praktijk liggen die vaak best dicht bij elkaar. In Normity kun je niet alleen de risico's, maar ook de kansen vastleggen. Kansen voor jouw organisatie, afdeling of misschien zelfs jou persoonlijk. En net als bij risico's kun je bij kansen ook eigenaren toekennen, documenten koppelen, acties definiëren en nog veel meer.