Methodiek en registers

Niet elke organisatie hoeft meteen alles. Onder Methodiek kies je per onderdeel hoe ver je gaat. RiskCompass laat dan precies de schermen en velden zien die daarbij horen, en leidt daaruit af hoe volwassen je risicomanagement is.

Dit doe je als organisatiebeheerder.

Gradaties

Elk onderdeel heeft vier standen:

Gradatie	Betekenis
Uit	Het onderdeel is niet in gebruik.
Structuur	Het staat er en het is benoemd, maar het stuurt nog niets.
Toegepast	Per risico ingevuld, onderbouwd en meegewogen. Nog niet gemeten en niet bewaakt.
Volledig benut	Aantoonbaar, gemeten en bewaakt: achterstand wordt een signaal.

Kies bij een onderdeel de Gradatie en klik op Toepassen. Zet je een onderdeel lager of uit, dan zie je eerst wat er verdwijnt. Wat je hebt vastgelegd, blijft bewaard en komt terug als je het onderdeel weer aanzet.

(volle grootte openen)

Een nieuwe omgeving begint met alleen KPI’s en controlemomenten op Toegepast.

De onderdelen

Fase	Onderdeel	Wat het toevoegt
Reikwijdte en context	Context en criteria	Een register voor de reikwijdte en context, en de risicocriteria in je beleidsdocument.
	Bedrijfsmiddelen	Een register van je bedrijfsmiddelen, te koppelen aan risico’s, en op het hoogste niveau de kritikaliteit.
Identificatie	MAPGOOD-checklist	De invalshoek per risico (mens, apparatuur, programmatuur, gegevens, organisatie, omgeving, diensten) en een vastgelegde rondgang per invalshoek.
	Dreigingsactoren	Een register van wie een risico kan veroorzaken, met intentie, capaciteit en gelegenheid.
Analyse	FMEA met detectiekans	De stap Analyse met faalwijze, gevolg en oorzaak, daarna detectie en een prioriteitsgetal.
	Vlinderdas	De stap Analyse met oorzaken en gevolgen, daarna barrières.
Evaluatie	Restrisico en aanvaarding	De stap Restrisico: de score na behandeling, en op het hoogste niveau een expliciete aanvaarding.
Behandeling	Beheersraamwerk	Je eigen catalogus van beheersmaatregelen, waaraan maatregelen verwijzen.
	Verklaring van toepasselijkheid	Per beheersmaatregel of hij van toepassing is, met motivatie. Vraagt het beheersraamwerk.
Monitoring en review	KPI’s en controlemomenten	De volgende controledatum per risico, de bewaking van meetpunten en het automatisch versturen van rapportages.

Volwassenheid

RiskCompass leidt de volwassenheid af. Je kiest hem niet. De uitkomst is het laagste van twee oordelen:

De zwakste schakel: het onderdeel dat je het minst diep toepast.
De basis: welke onderdelen aan moeten staan. Voor Ingericht zijn dat Context en criteria en KPI’s en controlemomenten. Voor Volwassen komen daar Bedrijfsmiddelen en Restrisico en aanvaarding bij. Voor Geavanceerd ook het Beheersraamwerk en de Verklaring van toepasselijkheid.

Is de basis niet rond, dan is de uitkomst Startend. De pagina vertelt welke onderdelen je mist voor het volgende niveau.

De registers

Wat je aanzet, verschijnt in het menu onder Registers. Context en criteria staat onder Beheer. Een risicomanager vult de registers. Andere rollen kunnen ze lezen.

Context en criteria

Vijf tekstvelden: Reikwijdte, Interne context, Externe context, Belanghebbenden en Risicocriteria. Klik op Opslaan. Deze teksten komen vanzelf in je risicomanagementbeleid.

(volle grootte openen)

Bedrijfsmiddelen

Voeg een bedrijfsmiddel toe met Bedrijfsmiddel toevoegen: naam, soort, eigenaar en een omschrijving. Wijzig bestaande rijen en klik op Opslaan onderaan om alles in één keer op te slaan. Een bedrijfsmiddel dat aan een risico gekoppeld is, kun je niet verwijderen.

Dreigingsactoren

Voeg een actor toe met Dreigingsactor toevoegen: naam, soort (intern, extern, keten, natuur of technisch) en per kenmerk een score van 1 tot 5 voor intentie, capaciteit en gelegenheid. Op het hoogste niveau rekent RiskCompass er een dreigingsniveau uit.

MAPGOOD-checklist

Loop de zeven invalshoeken langs. Per invalshoek leg je vast waarnaar je hebt gekeken en wat dat opleverde, met Rondgang vastleggen. Op het hoogste niveau waarschuwt RiskCompass als een invalshoek langer dan een jaar niet is nagelopen.

Beheersraamwerk en Verklaring van toepasselijkheid

RiskCompass levert geen normteksten mee. Je importeert je eigen catalogus, bijvoorbeeld ISO 27002, BIO, NEN 7510 of een eigen raamwerk.

Klik op Raamwerk aanmaken en vul een naam en de bron in.
Plak je maatregelen bij Plak hier uw maatregelen, één per regel, met de velden gescheiden door een puntkomma: code;thema;titel, en eventueel een omschrijving als vierde veld. Bijvoorbeeld:
```
A.5.1;Organisatorisch;Beleid voor informatiebeveiliging
```
Klik op importeren. RiskCompass meldt hoeveel maatregelen zijn toegevoegd, bijgewerkt en overgeslagen. Importeer je een code opnieuw, dan werkt hij die bij.

Staat de Verklaring van toepasselijkheid aan, dan kies je per maatregel Van toepassing, Niet van toepassing of Onbepaald, met een motivatie. Klik op Opslaan onderaan de tabel. Het aantal toepasselijke maatregelen komt in je informatiebeveiligingsbeleid.