Beschermingsbehoefte en risico verbinden

Beschermingsbehoefte beschrijft impact; risico beschrijft scenario’s

De beschermingsbehoefte beantwoordt hoe ernstig schade aan een doelobject of proces zou zijn. De risicoanalyse voegt daar dreigingen, kwetsbaarheden, waarschijnlijkheden en maatregelen aan toe.

Wanneer de twee werkstromen gescheiden blijven, ontstaan er hiaten. Een doelobject kan een hoge beschermingsbehoefte hebben zonder dat de relevante risico’s worden geprioriteerd. Omgekeerd kan een risicobesluit moeilijk uit te leggen zijn wanneer de beschermingsbehoefte niet duidelijk is gedocumenteerd.

Een gedeeld model vermindert tegenstrijdigheden

Teams moeten besluiten over de beschermingsbehoefte direct verbinden met doelobjecten, gegevens, processen en afhankelijkheden. De risicoanalyse kan dan op die structuur voortbouwen en besluiten over maatregelen verklaren.

Het gedeelde model is vooral nuttig in gesprekken met de business: de impact op vertrouwelijkheid, integriteit en beschikbaarheid is zichtbaar voordat afzonderlijke maatregelen ter discussie staan.

• Licht de beschermingsbehoefte toe voor elk doelobject en elk beveiligingsdoel
• Herleid risico’s tot de getroffen doelobjecten
• Verbind besluiten over maatregelen met de beschermingsbehoefte en het restrisico

Wat het zwaarst weegt bij een audit

Auditors zoeken naar consistente besluiten: waarom is een doelobject als hoog geclassificeerd? Welke maatregelen volgen daaruit? Welke risico’s blijven open? Wie heeft het besluit goedgekeurd?

Een goed ISMS kan die vragen beantwoorden zonder apart onderzoek. Daarvoor moeten beschermingsbehoefte, risicoanalyse, de status van maatregelen en bewijs één gedeelde werkcontext hebben.