Information Security Risk Management (ISRM) – Aan de slag met risico’s

Steeds meer organisaties worstelen met het beheersen van informatiebeveiligingsrisico’s. De digitale ecosystemen van vandaag zijn te complex geworden om elk risico handmatig te kunnen overzien. Het is simpelweg niet mogelijk om iedere dreiging, kwetsbaarheid of risico binnen het aanvalsoppervlak steeds te slim af te zijn.

De realiteit is dat vrijwel iedere organisatie vroeg of laat te maken krijgt met een datalek of cyberincident.

Toch zijn de gevolgen van zo’n incident groter dan ooit. Bedrijven zijn steeds afhankelijker van informatiesystemen, terwijl de financiële, juridische en reputatieschade bij een incident blijft toenemen. Daarom is een gestructureerd Information Security Risk Management-programma (ISRM) geen optie meer, maar een noodzaak.

Deze handreiking beschrijft hoe een organisatie stap voor stap een effectief ISRM-programma opzet en onderhoudt. De belangrijkste frameworks, methodieken, noodzakelijke hulpmiddelen en praktische best practices worden behandeld, met als doel organisaties te helpen risico’s effectiever beheersbaar te maken.

Nijhuis Cyber Security Solutions (NCSS) benadrukt dat goed risicomanagement niet alleen bijdraagt aan naleving van wet- en regelgeving, maar ook aan digitale weerbaarheid en het behouden van vertrouwen bij klanten, partners en toezichthouders.

Of een organisatie nu voor het eerst een ISRM-programma opzet, bestaande processen wil moderniseren of zich voorbereidt op een aanstaande audit, deze handreiking biedt praktische handvatten om dat gestructureerd en aantoonbaar (herleidbaar) te doen.

Laten we bij het begin beginnen 🙂

Wat is Information Security Risk Management (ISRM)?

Information Security Risk Management (ISRM) is het gestructureerde proces van het identificeren, beoordelen, behandelen en bewaken van risico’s die verband houden met informatiesystemen, IT-assets en digitale infrastructuur.

Kort gezegd helpt ISRM organisaties beveiligingsgaten te ontdekken en aan te pakken voordat ze leiden tot incidenten.

De kern­doelen van een ISRM-programma zijn:

• Beschermen van vertrouwelijke en kritieke informatie tegen ongeautoriseerde toegang of schade.
• Verkleinen van de kans en impact van bedreigingen en kwetsbaarheden.
• Waarborgen van bedrijfscontinuïteit (Business Continuity), naleving van wet- en regelgeving en behoud van vertrouwen van stakeholders.

Information Security Risk Management vormt de verbindende schakel tussen beleid, techniek en governance.

Wat maakt een ISRM-programma effectief?

Succesvolle risicobeheersing (of risicomanagement) vraagt meer dan goede intenties. Organisaties hebben niet alleen beleid nodig, maar ook een duidelijke strategie, betrouwbare hulpmiddelen en actieve betrokkenheid van teams.
Een effectief ISRM-programma is:

• Gestructureerd: gebaseerd op erkende standaarden zoals ISO 27005 of het NIST Risk Management Framework.
• Formeel vastgelegd: beschreven in beleid, procedures en werkinstructies die consistent worden toegepast in de hele organisatie.
• Doorlopend: gericht op proactieve risicobeheersing met periodieke evaluaties en voortdurende monitoring.
• Geborgd: met duidelijke rollen, verantwoordelijkheden en heldere meetbare doelstelling en opvolging op teamniveau.

NCSS ziet in de praktijk dat organisaties die deze vier elementen combineren aanzienlijk sneller reageren op dreigingen en beter voorbereid zijn op audits of incidentonderzoeken.

Typen informatiebeveiligingsrisico’s

Niet elk risico heeft dezelfde impact. Door risico’s te groeperen, ontstaat beter inzicht in waar de belangrijkste dreigingen liggen en welke prioriteit deze krijgen bij besluitvorming.

Risico’s zijn bijvoorbeeld te verdelen in:

• Compliance-risico’s: overtreding van wet- en regelgeving, contractuele verplichtingen of interne policies.
• Financiële risico’s: verlies van inkomsten, onverwachte kosten of fraude.
• Operationele risico’s: verstoring van dagelijkse processen, toegang of ondersteunende diensten.
• Systeem- en servicerisico’s: uitval of misconfiguratie van IT-systemen, applicaties of infrastructuur.
• Reputatierisico’s: verlies van vertrouwen bij klanten, partners, stakeholders en in de maatschappij.
• Strategische risico’s: bedreigingen die invloed hebben op langetermijndoelen of de missie van de organisatie.

Het groeperen of indelen van risico’s naar type maakt inzichtelijk wat er daadwerkelijk op het spel staat. Ook wordt duidelijk welke gevolgen incidenten kunnen hebben voor verschillende onderdelen van de organisatie. Zo kunnen management en securityteams prioriteiten beter afstemmen en onderbouwen.

Waarom ISRM essentieel is in de huidige context

Informatie is voor vrijwel iedere organisatie één van de meest waardevolle bedrijfsmiddelen. Information Security Risk Management is belangrijk omdat het helpt om deze informatie te beschermen tegen dreigingen en kwetsbaarheden. ISRM vormt daarmee een onmisbaar onderdeel van moderne beveiligingsstrategieën.

Hoewel risicomanagement al jaren een vast onderdeel is van informatiebeveiliging, is de risico-omgeving ingrijpend veranderd. De huidige digitale infrastructuren zijn complex, onderling verbonden en voortdurend in ontwikkeling. Waar risico’s vroeger beperkt bleven tot interne systemen, bevinden ze zich nu in een netwerk van cloudomgevingen, leveranciers en partners.

Het moderne aanvalsoppervlak

De omvang van het digitale aanvalsoppervlak is de laatste jaren sterk toegenomen. Organisaties beheren steeds meer systemen, werken met meerdere leveranciers en verwerken grotere hoeveelheden gevoelige data. Hierdoor zijn risico’s moeilijker te beheersen en wordt het belang van structureel risicomanagement alleen maar groter.

Daarnaast zorgen Europese regelgeving en richtlijnen zoals NIS2, DORA en de AVG voor strengere eisen aan informatiebeveiliging en verantwoording. Bedrijven worden niet alleen geacht incidenten te voorkomen, maar ook aantoonbaar te kunnen laten zien hoe risico’s worden geïdentificeerd, beoordeeld en behandeld.

De kosten van een cybersecurityincident

Uit de Cybersecuritymonitor 2024 van het CBS blijkt dat het aandeel bedrijven dat te maken kreeg met een cybersecurityincident daalde van 19% in 2019 naar 9% in 2023. Die daling betekent niet dat de dreiging kleiner is geworden. De aard en complexiteit van incidenten veranderen: waar het vroeger vaak ging om malware of phishing, zien we nu meer gerichte aanvallen, ransomware en incidenten veroorzaakt door ketenafhankelijkheden of menselijke fouten in geautomatiseerde processen.

De financiële en operationele gevolgen per incident nemen toe. Incidenten leiden vaker tot langdurige verstoringen van bedrijfsvoering, herstelkosten en reputatieschade. Volgens cijfers van IBM Security (Cost of a Data Breach Report 2024) bedragen de gemiddelde kosten van een ernstig cybersecurityincident in de Benelux inmiddels ruim € 6 miljoen per gebeurtenis. Dat is exclusief de indirecte schade, zoals verlies van klantvertrouwen, juridische kosten of gemiste omzet door downtime.

Deze ontwikkeling maakt duidelijk dat effectief risicomanagement niet alleen gericht is op het voorkomen van incidenten, maar vooral op het beheersen van de gevolgen wanneer ze zich voordoen. De dreigingsomgeving wordt complexer en bedrijfsprocessen zijn steeds nauwer verbonden met digitale systemen en ketenpartners. Daardoor nemen de potentiële gevolgen van een enkel incident toe en wordt risicomanagement een strategisch onderdeel van bedrijfsvoering.

Verouderde aanpakken en nieuwe realiteit

Ondanks de toenemende complexiteit werken veel organisaties nog met verouderde methoden voor risicomanagement. Handmatige spreadsheets, statische registraties en reactieve processen zorgen voor beperkte zichtbaarheid en vertraging in besluitvorming. Volgens internationaal onderzoek van PwC (Global Digital Trust Insights 2024) heeft slechts een klein deel van de organisaties een volwassen en geïntegreerd ISRM-programma ingericht.

Dit leidt tot blinde vlekken: risico’s worden te laat gesignaleerd, mitigatieacties blijven liggen en managementinformatie mist context. Een goed opgezet ISRM-programma helpt juist om deze beperkingen te doorbreken.

Voordelen van Information Security Risk Management

Wanneer Information Security Risk Management (ISRM) goed wordt uitgevoerd, helpt het organisaties risico’s vroegtijdig te identificeren, te beheren en te verminderen op een proactieve en gestructureerde manier.

Een effectief ISRM-programma ondersteunt organisaties bij het realiseren van vijf belangrijke voordelen.

1. Vroegtijdige identificatie van risico’s

Door risico’s continu te monitoren, kunnen potentiële dreigingen worden onderkend voordat ze leiden tot incidenten, storingen of dataverlies. Dit maakt het mogelijk om preventieve maatregelen te treffen en kwetsbaarheden tijdig te verhelpen.

2. Gerichte inzet van middelen

ISRM helpt organisaties middelen en inspanningen te prioriteren op basis van de werkelijke bedrijfseffecten van risico’s. Zo worden beveiligingsinvesteringen gericht ingezet waar ze de grootste waarde hebben, bij de processen en systemen die cruciaal zijn voor continuïteit en compliance.

3. Duidelijk eigenaarschap en verantwoordelijkheid

Een goed ingericht ISRM-programma creëert heldere verantwoordelijkheden binnen teams. Door risico’s toe te wijzen aan specifieke eigenaren met gedefinieerde rollen en bevoegdheden, ontstaat meer betrokkenheid en accountability. Dit bevordert samenwerking en versnelt besluitvorming bij dreigingen of incidenten.Efficiëntere respons en herstel.

4. Efficiëntere respons en herstel

Door risico’s rechtstreeks te koppelen aan relevante systemen, beleid en beheersmaatregelen kan sneller worden gehandeld wanneer zich een incident voordoet. Deze structuur voorkomt dubbel werk, versnelt herstelprocessen en verbetert de consistentie van risicobehandeling.

5. Beter voorbereid op audits

Een ISRM-programma biedt een centraal overzicht van risico’s, documentatie en rapportages. Dit maakt de organisatie aantoonbaar beter voorbereid op interne en externe audits. Toezichthouders, auditors en management krijgen daardoor sneller inzicht in de effectiviteit van maatregelen en de actuele risicostatus.

Door deze voordelen te combineren groeit ISRM uit tot een strategisch hulpmiddel voor bestuurders en securityteams.

Informatiebeveiligingsraamwerken uitgelegd

Effectief risico’s beheersen, bijvoorbeeld binnen een ISRM-programma, vraagt om structuur. Die structuur komt van informatiebeveiligingsraamwerken: richtlijnen en standaarden die door erkende organisaties of toezichthouders zijn ontwikkeld om organisaties te helpen bij het identificeren, beoordelen en beheersen van risico’s.

Niet elk raamwerk doet hetzelfde. Sommige beschrijven het proces van risicomanagement en de bijbehorende methodiek, terwijl andere juist concrete beveiligingsmaatregelen voorschrijven. Beide zijn essentieel voor een samenhangend ISRM-programma.

Risicomanagementraamwerken (Risk Management Frameworks)

Raamwerken geven richting aan het volledige proces van informatiebeveiligingsrisicomanagement. Ze helpen organisaties om vast te leggen hoe risico’s worden geïdentificeerd, beoordeeld, behandeld en gemonitord. Daardoor ontstaat een herhaalbaar en consistent proces dat toepasbaar is op meerdere teams, systemen en bedrijfsonderdelen.

De meest gebruikte raamwerken zijn:

ISO/IEC 27005

ISO/IEC 27005 is een internationale standaard die de systematische aanpak van risicomanagement binnen een ISO 27001-managementsysteem (ISMS) beschrijft. De methode is flexibel, schaalbaar en toepasbaar in vrijwel elke sector.

ISO/IEC 27005 kenmerken:

• Flexibele en aanpasbare risicobeoordelingsmethode.
• Geschikt voor organisaties van elke omvang en volwassenheid.
• Integreert eenvoudig met Enterprise Risk Management (ERM).
• Bijzonder waardevol voor organisaties die ISO-certificering nastreven of internationaal opereren.

NIST Risk Management Framework (RMF)

Het NIST Risk Management Framework is een raamwerk van het Amerikaanse National Institute of Standards and Technology (NIST). Het bestaat uit zeven stappen waarmee risico’s worden geïntegreerd in de gehele levenscyclus van informatiesystemen, inclusief privacy- en toeleveringsketenrisico’s.

NIST RMF kenmerken:

• Verplicht voor Amerikaanse federale instanties onder de Federal Information Security Modernization Act (FISMA).
• Sluit aan op NIST-publicaties zoals SP 800-37 en SP 800-53.
• Bevat continue monitoring en periodieke risicobeoordeling.
• Geschikt voor organisaties in sterk gereguleerde sectoren of met overheidsopdrachten.

Ontdek hoe Nijhuis Cyber Security Solutions organisaties helpt met effectief risicobeheer en naleving van wet- en regelgeving.

Meer over risicobeheersing

Van risicomanagementraamwerk naar beheersingsraamwerk

Waar risicomanagementraamwerken de structuur en methodiek bieden voor het identificeren en beoordelen van risico’s, gaan beheersingsraamwerken een stap verder. Zij beschrijven welke maatregelen nodig zijn om die risico’s daadwerkelijk te beperken of te voorkomen.

Beide typen raamwerken vullen elkaar aan. Een risicomanagementraamwerk helpt organisaties begrijpen waar de risico’s liggen, terwijl een beheersingsraamwerk helpt gericht te reageren met passende maatregelen.

Een effectief ISRM-programma combineert daarom beide: het risicomanagementraamwerk bepaalt het proces, het beheersingsraamwerk vult in wat er concreet moet gebeuren. Samen zorgen ze voor een samenhangende aanpak waarin besluitvorming, beheersmaatregelen en verantwoording op elkaar aansluiten.

Beheersingsraamwerken uitgelegd

Beheersingsraamwerken (control frameworks) bevatten concrete maatregelen, richtlijnen en best practices om informatiebeveiligingsrisico’s te verminderen. Waar een risicomanagementraamwerk helpt bepalen welke risico’s aandacht vragen, biedt een control framework de handvatten om die risico’s te beheersen, mitigeren of accepteren.

Ze vormen daarmee de praktische vertaling van risicobeleid naar uitvoering. Een goed gekozen control framework zorgt voor consistentie, herhaalbaarheid en aansluiting op wettelijke en normatieve eisen.

Veelgebruikte beheersingsraamwerken

ISO/IEC 27001 Annex A

Annex A van ISO/IEC 27001:2022 bevat 93 beveiligingsmaatregelen, verdeeld over vier domeinen: organisatie, mensen, fysieke beveiliging en technologie. Deze maatregelen helpen organisaties bij het implementeren van een managementsysteem voor informatiebeveiliging (ISMS).

ISO/IEC 27001 kenmerken:

• Onderdeel van de internationale ISO 27001-standaard.
• Combinatie van strategische, organisatorische en technische maatregelen.
• Sluit direct aan op risicomanagement volgens ISO 27005.
• Breed toepasbaar, van mkb tot multinationals en overheden.

NIST Cybersecurity Framework (CSF 2.0)

Het NIST Cybersecurity Framework is opgebouwd rond vijf kernfuncties: Identify, Protect, Detect, Respond en Recover. Het raamwerk is flexibel en resultaatgericht en wordt veel gebruikt om beveiligingsactiviteiten te koppelen aan bedrijfsdoelen.

NIST CSF 2.0 kenmerken:

• Uitkomstgericht, gericht op continu verbeteren.
• Veel gebruikt als verbindende laag tussen risicomanagement en operationele beveiliging.
• Regelmatig geactualiseerd op basis van actuele dreigingen.
• Geschikt voor organisaties die flexibiliteit en schaalbaarheid nodig hebben, zoals vitale aanbieders en toeleveranciers.

NIST SP 800-53

Deze publicatie bevat een uitgebreide catalogus van beveiligingsmaatregelen, verdeeld over twintig control families. De maatregelen zijn ontworpen voor federale systemen (informatiesystemen die eigendom zijn van of beheerd worden door de federale overheid, waaronder Amerikaanse overheidsinstanties zoals NASA en Homeland Security), maar worden wereldwijd toegepast door organisaties met hoge beveiligingseisen.

NIST SP 800-53 kenmerken:

• Zeer volledig en geschikt voor organisaties met complexe infrastructuren.
• Koppelt risicomanagement direct aan beheersmaatregelen.
• Sluit aan op NIST RMF en ISO 27001.
• Ideaal voor sectoren met hoge compliance-eisen, zoals defensie, energie en financiële dienstverlening.

CIS Critical Security Controls (v8)

De CIS Controls vormen een praktisch, prioriteerbaar en dreigingsgericht raamwerk met technische en organisatorische maatregelen om de meest voorkomende cyberdreigingen te beperken. Het raamwerk bestaat uit 18 beveiligingsdomeinen (controls) met in totaal 153 concrete beveiligingsmaatregelen (safeguards). De controls zijn ingedeeld in drie Implementation Groups (IG1, IG2, IG3), afhankelijk van de omvang, middelen en risicobereidheid van de organisatie.

De CIS Controls en mitigerende maatregelen worden ontwikkeld en continu verbeterd in samenspraak met een internationale community van cybersecurityprofessionals, leveranciers, onderzoeksinstellingen en overheidsorganisaties. Deze brede samenwerking zorgt ervoor dat het raamwerk actueel, toepasbaar en afgestemd blijft op de meest relevante dreigingen uit de praktijk.

CIS Control Framework kenmerken:

• Gericht op realistische en haalbare maatregelen.
• Regelmatig geactualiseerd op basis van actuele dreigingsinformatie.
• Ontwikkeld in samenwerking met een internationale community en leveranciers.
• Eenvoudig te koppelen aan NIST CSF 2.0 en ISO 27001.
• Ideaal startpunt voor organisaties die risicogestuurd willen werken met beperkte middelen.

Goed om te weten: De CIS Controls in Implementation Group 1 (IG1) worden door het Nationaal Cyber Security Centrum (NCSC) erkend als praktische basis voor cyberhygiëne.

Nederlandse risicomanagementraamwerken en beheersingskaders

Nederland kent geen volledig eigen risicomanagementraamwerk, maar wel diverse normen en richtlijnen die risicomanagement ondersteunen en de vertaalslag maken naar concrete beheersmaatregelen. Deze kaders zijn vaak gebaseerd op internationale principes uit ISO 27001, NIST CSF of het Risk Management Framework (RMF) en zijn afgestemd op de Nederlandse wet- en regelgeving.

Belangrijke Nederlandse kaders:

• BIO (Baseline Informatiebeveiliging Overheid): De BIO is verplicht voor alle overheidslagen en afgeleid van ISO 27001/27002; bevat beheersmaatregelen en richtlijnen voor risicobeheersing binnen de publieke sector.
• NEN 7510: De NEN 7510 is een sectorspecifieke norm voor informatiebeveiliging in de zorg; vertaalt ISO-controles naar de zorgcontext en legt nadruk op patiëntveiligheid en gegevensbescherming.
• DNB Good Practice (2023): De DNB Good Practice (2023) is een richtlijn van De Nederlandsche Bank voor de financiële sector met nadruk op operationele weerbaarheid en ICT-risicobeheer. De DNB Good Practice sluit aan op Europese regelgeving zoals DORA, maar is bedoeld als praktische handreiking, niet als verplicht raamwerk.

Nationale kaders versterken internationale raamwerken: internationale standaarden bieden de methodiek en processtructuur, terwijl Nederlandse normen zorgen voor uitvoerbaarheid, naleving en sector­specifieke invulling.

Het juiste raamwerk kiezen

Niet elk raamwerk past bij elke organisatie. De keuze hangt af van sector, schaal, verplichtingen en volwassenheid. Onderstaande combinaties komen in de praktijk veel voor:

Type organisatie	Risicomanagementraamwerk	Beheersingsraamwerk	Toelichting
Multinational	ISO 27005	ISO 27001 / ISO 27002 (+ CIS Controls IG2-3)	Internationaal erkend, certificeerbaar en geschikt voor integratie met bestaande governance-structuren.
Overheid / semi-publiek	ISO 27005	BIO (+ CIS Controls IG1-2)	Wettelijk verplicht normenkader op basis van ISO-standaarden; geschikt voor NIS2-doelstellingen.
Zorginstelling	ISO 27005	NEN 7510-serie (+ CIS Controls IG1-2)	Specifiek gericht op zorg- en privacyrisico’s; sluit aan bij de AVG en patiëntveiligheid.
Financiële instelling	ISO 31000 / NIST RMF	DNB Good Practice / DORA (+ CIS Controls IG2-3)	Gericht op operationele weerbaarheid en toezichtseisen van DNB en EU.
MKB	ISO 27005 / NIST RMF Lite	CIS Controls (IG1)	Praktisch en prioriteerbaar raamwerk om stapsgewijs te groeien in volwassenheid.
Kritieke infrastructuur	NIST RMF	NIST CSF / IEC 62443 (+ CIS Controls IG2-3)	Ontworpen voor sectoren met hoge beschikbaarheids- en continuïteitseisen.

De essentie blijft: kies een raamwerk dat past bij je context, niet per se het meest uitgebreide.

Een eenvoudiger raamwerk dat goed wordt toegepast is waardevoller dan een complex raamwerk dat alleen op papier bestaat.

Information Security Risk Management in de praktijk

Een raamwerk op papier is geen garantie voor weerbaarheid. De effectiviteit van risicomanagement staat of valt met de manier waarop het wordt toegepast binnen de organisatie. Dat betekent dat raamwerken pas waarde krijgen wanneer ze worden vertaald naar concrete processen, meetbare resultaten en aantoonbare borging.

In de praktijk bestaat Information Security Risk Management uit een aantal vaste stappen. Deze volgen eigenlijk altijd de opzet van ISO 27005, dat een gestructureerde en herhaalbare methode biedt om risico’s te identificeren, te beoordelen en te behandelen.

Deze stappen helpen organisaties om risico’s niet alleen te herkennen, maar ook aantoonbaar te beheersen. Een volwassen ISRM-proces maakt risico’s zichtbaar, verbindt ze aan maatregelen en zorgt ervoor dat besluitvorming plaatsvindt op basis van feiten in plaats van aannames.

Stap 1: Context vaststellen

Het vaststellen van de context vormt de basis van effectief risicomanagement. In deze stap wordt bepaald wat de organisatie wil bereiken, wie betrokken is en hoe beslissingen over risico’s worden genomen.

In plaats van vage doelen als “beveiliging verbeteren”, draait het hier om concrete, meetbare doelstellingen die richting geven aan acties en besluiten.

Belangrijke onderdelen van deze stap zijn:

Scope afbakenen: documenteer duidelijk welke systemen, processen, leveranciers en datatypen binnen het ISRM-programma vallen — en wat expliciet buiten scope blijft.

Doelen formuleren: bepaal wat het ISRM-programma concreet moet opleveren, zoals bijvoorbeeld: voldoen aan compliance-eisen, beperken van leveranciersrisico’s of voorbereiding op audits.

Criteria voor risicobeoordeling definiëren: leg vast hoe risico’s worden beoordeeld en gerangschikt, inclusief grenzen voor acceptabel risico en prioriteringsregels bij beperkte middelen.

Eigenaarschap toewijzen: bepaal wie risico’s beoordeelt, wie verantwoordelijk is voor besluitvorming en wie geïnformeerd moet blijven.

Resultaat: een gedocumenteerd kader voor consistente en transparante besluitvorming over risico’s, met vastgelegde doelstellingen, een duidelijke scope, expliciete beoordelingscriteria en toewijzing van verantwoordelijkheden.

Veelvoorkomende valkuilen bij het vaststellen van de context:

• Scope creep: zonder duidelijke afbakening vervaagt de grens van wat binnen scope valt, waardoor analyses ongericht worden.
• Onduidelijke rollen: onduidelijk eigenaarschap leidt tot vertraging en blinde vlekken in de uitvoering.
• Vage beoordelingscriteria: inconsistente maatstaven maken het lastig om risico’s organisatiebreed te vergelijken of prioriteren.

Stap 2: Risico’s identificeren

Het identificeren van risico’s betekent het systematisch vaststellen en documenteren van alle potentiële dreigingen en kwetsbaarheden die impact kunnen hebben op de informatie en systemen van de organisatie. Het doel is te begrijpen wat er moet worden beschermd, tegen welke dreigingen, en waar de belangrijkste kwetsbaarheden zich bevinden.

Volgens ISO 27005 kunnen risico’s op twee manieren worden geïdentificeerd:

• Asset-gebaseerde benadering: start vanuit specifieke assets, zoals servers, databases of cloudapplicaties en breng de dreigingen en kwetsbaarheden in kaart die hierop van toepassing zijn.
• Event-gebaseerde benadering: begin vanuit concrete scenario’s, zoals phishing, ransomware of datalekken en bepaal welke assets en processen hierdoor geraakt kunnen worden.

Belangrijke onderdelen van deze stap zijn:

• Inventariseer kritieke assets. Maak een volledig overzicht van hardware, software, cloud-diensten, gevoelige data, leveranciers en gebruikersaccounts. Classificeer deze op basis van belangrijkheid en vertrouwelijkheid.
• Identificeer relevante dreigingen. Gebruik interne incidentdata, sectorinformatie, kwetsbaarheidsmeldingen en dreigingsrapportages om te bepalen welke aanvallen of gebeurtenissen het meest waarschijnlijk zijn.
• Breng kwetsbaarheden in kaart. Leg bekende zwakheden vast, zoals misconfiguraties, verouderde software, ontbrekende patches of zwakke toegangscontrole in systemen, netwerken, processen en ketenpartners.

Resultaat: een compleet overzicht van risico’s met directe koppeling aan de belangrijkste assets en bedrijfsprocessen. De organisatie heeft volledig zicht op relevante dreigingen, kwetsbaarheden en blootstellingen.

Veelvoorkomende valkuilen bij het identificeren van risico’s:

Handmatige gegevensverzameling: versnipperde spreadsheets en e-mails zorgen voor inconsistentie, fouten en onvolledige informatie.

Onvolledige of verouderde assetlijsten: zonder een centraal en actueel overzicht (CMDB) worden kritieke systemen of leveranciers snel over het hoofd gezien.

Beperkte samenwerking: als afdelingen risico’s afzonderlijk beoordelen, blijven cruciale verbanden tussen dreigingen en processen mogelijk onopgemerkt.

Stap 3: Risico’s analyseren

Het analyseren van risico’s komt neer op het beoordelen van de waarschijnlijkheid dat een risico zich voordoet en de impact die het zou hebben als dat gebeurt. Deze stap helpt om onderscheid te maken tussen risico’s die direct aandacht vragen en risico’s die tijdelijk kunnen worden geaccepteerd.

ISO 27005 beschrijft drie gangbare methoden om informatiebeveiligingsrisico’s te analyseren:

• Kwalitatieve analyse: risico’s worden beoordeeld met relatieve waardes, zoals laag, middel of hoog. Deze methode is snel en geschikt bij beperkte data.
• Kwantitatieve analyse: risico’s worden uitgedrukt in meetbare grootheden, bijvoorbeeld verwachte financiële schade of verwachte downtime.
• Semi-kwantitatieve analyse: een combinatie van beide methoden, waarbij kwalitatieve inschattingen worden vertaald naar numerieke waarden om prioritering te ondersteunen.

Belangrijke onderdelen van deze stap zijn:

• Bepaal de waarschijnlijkheid van optreden. Analyseer per risico hoe waarschijnlijk het is dat het zich voordoet, op basis van eerdere incidenten, dreigingsinformatie, kwetsbaarhedenscans en sectorbenchmarks.
• Beoordeel de potentiële impact. Onderzoek hoe sterk een risico de vertrouwelijkheid, integriteit en beschikbaarheid (CIA) van informatie of systemen zou aantasten.
• Bereken het risiconiveau. Combineer kans en impact (kwalitatief of kwantitatief) tot een helder risicoscore die prioritering en besluitvorming ondersteunt.

Resultaat: een volledig overzicht van geïdentificeerde risico’s, elk voorzien van een kans- en impactscore. De organisatie beschikt over een onderbouwde prioriteitenlijst waarmee gerichte acties kunnen worden bepaald.

Veelvoorkomende valkuilen bij het analyseren van risico’s:

Gebrek aan vertaalslag naar actie: zonder gestandaardiseerde rapportage of duidelijke drempelwaarden blijft het lastig om scores te koppelen aan concrete besluiten.

Inconsistente risicoscores: verschillen in interpretatie tussen teams kunnen leiden tot tegenstrijdige resultaten en vertraging in besluitvorming.

Te subjectieve beoordelingen: zonder duidelijke criteria worden risico’s vaak te hoog of te laag ingeschat, wat de betrouwbaarheid van de analyse vermindert.

Stap 4: Risico’s evalueren

Het evalueren van risico’s betekent dat de eerder geanalyseerde risico’s worden vergeleken met de vastgestelde risicocriteria en de risicobereidheid van de organisatie. Het doel is om te bepalen welke risico’s onmiddellijke actie vereisen, welke acceptabel zijn en waar bewuste (zorgvuldig afgewogen) keuzes moeten worden gemaakt.

In deze fase verschuift de focus van analyse naar besluitvorming: welke risico’s worden aangepakt, geaccepteerd of doorgeschoven.

Belangrijke onderdelen van deze stap zijn:

• Vergelijk risico’s met vastgestelde criteria. Toets elk risico aan de vooraf bepaalde grenzen (drempelwaarden) voor aanvaardbaar risico om te bepalen of het binnen of buiten deze grenzen valt.
• Prioriteer kritieke risico’s. Leg nadruk op risico’s die de drempel overschrijden en dus onmiddellijke aandacht, middelen of managementbeslissingen vereisen.
• Documenteer risicobesluiten. Leg vast waarom bepaalde risico’s zijn geaccepteerd of uitgesteld, inclusief onderbouwing, verantwoordelijke personen en goedkeuringen.

Resultaat: een geprioriteerde lijst van risico’s met een helder onderscheid tussen urgente risico’s die actie vragen, risico’s die kunnen worden geaccepteerd en risico’s die later worden beoordeeld. Natuurlijk allemaal onderbouwd met gedocumenteerde besluitvorming.

Veelvoorkomende valkuilen bij het evalueren van risico’s:

Handmatige escalatie: informele besluitvorming vergroot de kans op vertraging en miscommunicatie, vooral bij risico’s die snel aandacht vragen.

Onduidelijke risicodrempels: zonder expliciete criteria is het lastig te bepalen welke risico’s actie vereisen en welke niet.

Inconsistente documentatie: gebrekkige vastlegging van besluiten leidt tot verwarring, complianceproblemen en onduidelijkheid bij audits.

Stap 5: Risico’s behandelen

Het behandelen van risico’s draait om het nemen van gerichte maatregelen voor de risico’s met de hoogste prioriteit. In deze stap bepaalt de organisatie hoe elk risico wordt aangepakt, welke maatregelen worden ingezet en hoe de uitvoering wordt vastgelegd en opgevolgd.

ISO 27005 onderscheidt vier strategieën voor risicobehandeling:

1. Mitigatie: het verkleinen van de kans of impact van een risico door het implementeren van gerichte maatregelen, zoals toegangsbeheer, netwerksegmentatie of bewustwordingstrainingen.
2. Vermijding: het volledig wegnemen van een risico door processen of diensten te stoppen die onacceptabele blootstelling veroorzaken.
3. Overdracht: het gedeeltelijk of volledig uitbesteden van het risico, bijvoorbeeld via cyberverzekeringen of contractuele afspraken met leveranciers.
4. Acceptatie: het formeel accepteren en documenteren van restrisico’s die binnen de grenzen van het aanvaardbare vallen.

Belangrijke onderdelen van deze stap zijn:

• Selecteer en documenteer passende maatregelen. Kies maatregelen die aansluiten bij erkende raamwerken, zoals ISO 27001 Annex A, NIST SP 800-53 of de CIS Controls, om risico’s effectief te adresseren.
• Voer geselecteerde maatregelen uit. Implementeer (passende en evenredige) technische, administratieve en organisatorische maatregelen die het risico beperken, vermijden of overdragen.
• Volg en documenteer de voortgang. Leg strategie, verantwoordelijkheden, tijdlijnen en verwachte resultaten vast. Dit zorgt voor transparantie, compliance en auditgereedheid.

Resultaat: een concreet risicobehandelplan waarin per risico wordt vastgelegd hoe het wordt aangepakt, wie verantwoordelijk is, welke maatregelen zijn geselecteerd en welke restrisico’s bewust zijn geaccepteerd.

Veelvoorkomende valkuilen bij het behandelen van risico’s:

Gebrekkige evaluatie: zonder periodieke toetsing is niet vast te stellen of maatregelen daadwerkelijk het risico verlagen of slechts administratief zijn afgevinkt.

Onduidelijk eigenaarschap: zonder duidelijke toewijzing van verantwoordelijkheden blijven risico’s liggen of worden maatregelen niet uitgevoerd.

Versnipperde documentatie: als informatie over maatregelen verspreid staat over verschillende systemen of afdelingen ontbreekt overzicht en consistentie. Daardoor bestaat het risico dat teams afzonderlijk dezelfde analyses uitvoeren of zelf oplossingen bedenken voor problemen die ergens anders in de organsiatie al zijn opgelost.

Krijg er een beeld bij: ISRM toegepast in de transportsector

Om duidelijk te maken hoe Information Security Risk Management in de praktijk werkt, nemen we het voorbeeld van een organisatie in de transportsector. Deze organisatie beheert een landelijk netwerk van distributiecentra, vervoert goederen voor klanten in heel Europa en maakt gebruik van geautomatiseerde planningssystemen, boordcomputers en sensoren in voertuigen.

Door de groeiende afhankelijkheid van digitale processen – van ritplanning tot klantportalen – besluit de organisatie een formeel ISRM-programma te implementeren om risico’s structureel te beheersen.

Zo verloopt dat in de praktijk:

Information Security Risk Management in de transportsector

Stap 1: Context vaststellen. De organisatie definieert de scope van haar ISRM-programma: het moet gelden voor logistieke IT-systemen, IoT-apparatuur in voertuigen, interne kantooromgevingen en de belangrijkste leveranciers (zoals softwarepartners en hostingproviders).

Doelstellingen worden vastgelegd: voldoen aan ISO 27001, voldoen aan eisen van opdrachtgevers, en continuïteit waarborgen in de transportketen.

Stap 2: Risico’s identificeren. Het securityteam brengt alle bedrijfskritische assets in kaart: transportmanagementsystemen, GPS-tracking, klantportalen, mobiele apps en communicatienetwerken tussen vrachtwagens en depots.

Daarbij worden ook dreigingen geïdentificeerd zoals ransomware, ongeautoriseerde toegang tot voertuignetwerken, storingen bij cloudproviders en menselijke fouten bij ritadministratie.

Stap 3: Risico’s analyseren. Voor elk risico wordt de kans en de impact beoordeeld. Bijvoorbeeld: een succesvolle ransomware-aanval op het planningssysteem kan leiden tot dagenlange stilstand van vrachtwagens en contractuele boetes. De risico’s worden gescoord op basis van kans × impact, waardoor direct zichtbaar wordt welke onderdelen de grootste bedreiging vormen voor de bedrijfscontinuïteit.

Stap 4: Risico’s evalueren. De organisatie vergelijkt de scores met vooraf vastgestelde risicocriteria.
Risico’s boven de drempelwaarde – zoals kwetsbaarheden in externe API-koppelingen of onvoldoende toegangsbeheer bij leveranciers – krijgen prioriteit.
Besluiten worden vastgelegd in het risicoregister, inclusief verantwoordelijke teams en goedkeuring door het management.

Stap 5: Risico’s behandelen. Voor elk hoog risico wordt een passende strategie bepaald:

• implementeren van netwerksegmentatie tussen kantoor- en voertuignetwerken,
• afdwingen van multi-factor-authenticatie voor chauffeurs en planners,
• afsluiten van cyberverzekering voor contractuele aansprakelijkheid,
• of wanneer mitigatie voorlopig (tijdelijk) niet haalbaar is, het formeel accepteren van een restrisico met een geplande herbeoordeling.

Alle maatregelen worden gekoppeld aan erkende raamwerken zoals ISO 27001 Annex A en de CIS Controls.

Monitoren en communiceren: De voortgang van risicobehandeling wordt continu gemonitord via dashboards en periodieke rapportages.

Elke drie maanden worden risico’s herbeoordeeld en nieuwe dreigingen toegevoegd, bijvoorbeeld rond IoT-apparatuur of veranderende regelgeving. Het management ontvangt rapportages met trends, status van maatregelen en actuele restrisico’s.

Van project naar proces

Een effectief ISRM-programma bestaat dus niet uit een eenmalig project, maar een doorlopend proces dat meebeweegt met de organisatie; zowel met de technologie als met de omgeving. De dreigingen van vandaag zijn niet die van morgen. Nieuwe leveranciers, systemen, wetgeving en markteisen zorgen ervoor dat risico’s voortdurend veranderen. Dus ook de manier waarop ze moeten worden beheerst.

ISRM vraagt daarom om structurele borging: beleid dat niet in een map verdwijnt, maar wordt vertaald naar dagelijkse praktijk. Dat betekent dat risicomanagement onderdeel wordt van besluitvorming, projectplanning en verandering, in plaats van een jaarlijkse verplichting voor audits of certificeringen.

Een volwassen ISRM-programma maakt risico’s:

• zichtbaar door actuele informatie te koppelen aan systemen, processen en verantwoordelijkheden;
• meetbaar door consistent te werken met criteria, scores en trendrapportages;
• beheersbaar door continu te verbeteren, te toetsen en te leren van incidenten.

Uiteindelijk draait ISRM niet om het elimineren van risico’s, maar om het nemen van onderbouwde beslissingen die passen bij de doelstellingen en risicobereidheid van de organisatie.

Door structureel bezig te zijn met risicomanagement binnen processen en besluitvorming en bij het opstellen of aanpassen van beleid, ontstaat een organisatie die niet alleen compliant is, maar ook veerkrachtig, voorbereid en in controle blijft.