Wat is ISO 27005? Risicomanagement bij ISO 27001

ISO 27005 is de richtlijn voor risicomanagement bij informatiebeveiliging. De norm beschrijft hoe u risico’s identificeert, beoordeelt en behandelt, en sluit daarmee aan op wat ISO 27001 van u vraagt zonder zelf eisen te stellen.

Die aansluiting is de reden dat de norm bestaat. ISO 27001 vraagt om een risicobeoordeling maar schrijft geen methode voor. U mag zelf kiezen hoe u dat doet, mits u het consequent doet en kunt uitleggen.

Hieronder leest u wat er in ISO 27005 staat, hoe het proces stap voor stap verloopt en waar organisaties in de praktijk op vastlopen.

Waarom er een aparte richtlijn voor risico’s is

Risicobeoordeling is het scharnier van het hele managementsysteem. Uit die beoordeling volgt welke maatregelen u kiest, en dus ook wat u niet doet. Klopt die stap niet, dan klopt de rest ook niet.

Tegelijk laat ISO 27001 bewust open hoe u het aanpakt. Een softwarebedrijf van vijftien mensen heeft een andere aanpak nodig dan een zorginstelling met vijf locaties. Een voorgeschreven methode zou voor de een te zwaar zijn en voor de ander te licht.

ISO 27005 vult die ruimte met een uitgewerkte werkwijze die u kunt volgen of aanpassen. U hoeft hem niet te gebruiken, en veel organisaties werken met een eigen methode of met een aanpak die hun adviseur meebrengt.

Het proces in vier stappen

De richtlijn beschrijft een cyclus die u herhaalt. In hoofdlijnen ziet die er zo uit.

• Context bepalen. Wat valt binnen de scope, welke criteria hanteert u voor kans en impact, en vanaf welk niveau vindt u een risico onaanvaardbaar.
• Risico’s identificeren. Wat kan er misgaan, met welke informatie of welk systeem, en langs welke weg.
• Risico’s analyseren en evalueren. Hoe waarschijnlijk is het, wat is de impact, en hoe verhoudt de uitkomst zich tot uw criteria.
• Risico’s behandelen. Verkleinen met een maatregel, overdragen aan een ander, vermijden door iets niet te doen, of bewust aanvaarden.

Die laatste stap wordt vaak versmald tot alleen maatregelen nemen. Bewust aanvaarden is een volwaardige keuze, mits iemand met mandaat dat besluit en het wordt vastgelegd.

De criteria bepalen de uitkomst

Dit is de stap die het meeste verschil maakt en die het vaakst wordt overgeslagen. Voordat u risico’s gaat scoren, bepaalt u wat de scores betekenen.

Wat noemt u een grote impact? Een dag stilstand, een boete, verlies van een klant, aandacht in de pers? En wat is een hoge kans: eens per jaar, of eens per vijf jaar? Zonder die afspraken vooraf scoort iedereen op gevoel en zijn de uitkomsten onderling niet vergelijkbaar.

Leg ook vast vanaf welk niveau u een risico niet meer aanvaardt. Dat is uw acceptatiegrens, en die bepaalt hoeveel werk er uit de beoordeling volgt.

Waar het in de praktijk misgaat

Drie dingen komen steeds terug.

Het eerste is een lijst die te lang wordt. Wie elk denkbaar scenario opschrijft, houdt honderden regels over waar niemand meer doorheen komt. Beter is een beperkt aantal risico’s dat er echt toe doet, met een onderbouwing waarom de rest eronder blijft.

Het tweede is een beoordeling die eenmalig blijft. Hij wordt gemaakt voor de audit en daarna een jaar niet aangeraakt, terwijl er in dat jaar een nieuwe dienst kwam en een leverancier verdween.

Het derde is dat de risico-eigenaar niet bestaat. Er staat een naam bij, maar die persoon weet het niet of heeft geen mandaat om te besluiten. Bij de eerste echte afweging blijkt dan dat niemand kan tekenen.

Hoe het aansluit op de rest van uw systeem

De uitkomst van de beoordeling gaat rechtstreeks door naar twee documenten. Uw verklaring van toepasselijkheid legt vast welke maatregelen u toepast en welke niet, met de onderbouwing erbij. Uw behandelplan legt vast wie wat wanneer doet.

Bij de interne audit wordt gekeken of die drie op elkaar aansluiten: de beoordeling, de verklaring en wat er in de praktijk gebeurt. Hoe dat verloopt staat in de ISMS-audit. Wilt u de beoordeling laten uitvoeren, dan is de risicoanalyse informatiebeveiliging de bijbehorende dienst.

De vier manieren om een risico te behandelen

Behandelen wordt vaak gelezen als maatregelen nemen, maar de richtlijn kent er vier. Ze zijn alle vier legitiem en ze horen alle vier vastgelegd te worden.

Verkleinen. U neemt een maatregel die de kans of de impact omlaag brengt. Dit is de bekendste route en meestal de eerste waar men aan denkt.

Overdragen. U legt het risico bij een ander, bijvoorbeeld via een verzekering of door een dienst uit te besteden aan een partij die het beter kan. Let op: u draagt het risico over, niet uw verantwoordelijkheid.

Vermijden. U stopt met de activiteit die het risico veroorzaakt. Dat klinkt drastisch en het is soms de verstandigste keuze, bijvoorbeeld bij een oude koppeling die niemand meer gebruikt maar die wel openstaat.

Aanvaarden. U besluit dat het risico past binnen wat u acceptabel vindt. Dat is een volwaardige keuze, mits de risico-eigenaar het besluit neemt en het met de onderbouwing wordt vastgelegd. Een aanvaard risico is iets anders dan een risico dat over het hoofd is gezien.

Hoe groot moet uw register zijn?

Kleiner dan u denkt. Dit is de vraag waar de meeste tijd verloren gaat, want een register groeit vanzelf en krimpt nooit uit zichzelf.

Voor een organisatie van gemiddelde omvang is twintig tot veertig risico’s een werkbaar aantal. Genoeg om de echte kwesties te dekken, weinig genoeg om ze een keer per jaar serieus te bespreken.

Wie op tweehonderd regels uitkomt, heeft meestal maatregelen als risico opgeschreven. “Geen antivirus” is geen risico maar een ontbrekende maatregel. Het risico is dat besmetting van werkplekken de dienstverlening stillegt, en daar kunnen meerdere maatregelen tegen helpen.

Die denkfout kost dubbel: uw register wordt onhanteerbaar en uw maatregelenkeuze wordt eng, want per opgeschreven maatregel is er nog maar een antwoord mogelijk.

Veelgestelde vragen over ISO 27005

Is ISO 27005 verplicht bij ISO 27001?

Nee. ISO 27001 vraagt om een risicobeoordeling maar schrijft geen methode voor. ISO 27005 is een richtlijn die u mag volgen. U kunt ook met een eigen methode werken, zolang u die consequent toepast en kunt uitleggen.

Kun je tegen ISO 27005 certificeren?

Nee, het is een richtlijn zonder eisen. Certificeren doet u tegen ISO 27001, en uw risicomanagement is daar een onderdeel van dat wordt getoetst.

Hoe vaak moet de risicobeoordeling worden herzien?

Minimaal een keer per jaar, aansluitend op de rest van uw jaarcyclus. Daarnaast bij elke grote verandering: een nieuwe dienst, een andere leverancier, een verhuizing naar een ander platform of een incident dat iets aan het licht bracht.

Werken met kans maal impact, of met scenario’s?

Allebei mag. Een scorematrix met kans en impact is overzichtelijk en makkelijk uit te leggen. Scenario’s geven meer inzicht in wat er werkelijk kan gebeuren. Veel organisaties combineren: scenario’s om de risico’s te vinden, een matrix om ze te wegen.

Wie moet de risico-eigenaar zijn?

Iemand die over het onderwerp gaat en die kan besluiten. Meestal een manager of directielid, niet de securityfunctionaris zelf. Die begeleidt het proces, maar de eigenaar is degene die de gevolgen draagt en dus ook tekent voor een aanvaard risico.