Het model: van strategisch risico naar de maatregel die eerst moet

Onderdeel van GRC voor security, privacy en continuïteit: één risicogestuurde PDCA-ronde · Markdown-bron

Bijlage bij GRC voor security, privacy en continuïteit. Hier staan de regels van het register: de lagen, de relaties, het schema van een bevinding, het niveau van een maatregel en de prioriteit. Het voorbeeld van Duinstad is met deze regels doorgerekend; het script tools/bouw_risicoregister.py in de kennisbank voert ze uit.

1. Doel#

Het register beantwoordt één vraag: welke maatregel en welke control pakken we eerst, en waarom. Verantwoording aan de directie en de auditor volgt daaruit. Voor sturen is een rangorde genoeg; het register rekent daarom geen restrisico uit.

2. Vijf lagen#

Laag Wat het is Waar het vandaan komt
SR · strategisch risico Risico op het niveau van de directie, met kans en impact De strategische risicoanalyse
OR · operationeel risico Risico uit een standaardlijst per kader Zie de tabel hieronder
Bevinding Aangetoond feit over een maatregel die niet werkt, met bron, datum en score Toetsen, incidenten, metingen, tests, analyses (§4)
Maatregel Eenheid uit de maatregelenlijst van een kader Verklaring van toepasselijkheid, BCM-set, privacykader
Control Toetsbare beheersactiviteit met eigenaar, frequentie en bewijs Het controleraamwerk bij het beleid
Kader Standaardlijst voor de OR's Maatregelen Stand per maatregel in de bron
BIO 2.0 Per ISO 27002-control een risicoformulering; verwante controls mogen samen één OR vormen De toepasselijke overheidsmaatregelen uit de verklaring van toepasselijkheid Geïmplementeerd of niet
BCM (ISO 22301) Per thema van de eigen BCM-maatregelenset De BCM-maatregelen Voltooid, deels of niets
Privacy (AVG) Per thema van het privacykader, bijvoorbeeld het AVG-borgingsproduct van de IBD De normen van dat kader Opzet, bestaan en werking als groen, oranje of rood

Neem bronnen die er al zijn. Een register dat een nieuwe maatregelenlijst vraagt, haalt niemand bij.

3. Relaties#

  1. SR naar OR: één op veel. Elk OR heeft precies één primair SR. Dat SR geeft het gewicht. a. Een SR zonder OR is niet onderbouwd. Dat is een melding, geen fout. b. Een OR zonder passend SR hangt onder buiten de risicoanalyse. Dat zegt iets over de risicoanalyse: ontbreekt er een strategisch risico? #
  2. OR naar maatregel: één OR per maatregel. Het OR volgt uit de standaardlijst van het eigen kader: een BIO 2.0-maatregel via zijn ISO-control, een BCM- of privacymaatregel via zijn thema. Een maatregel hangt nooit onder een OR van een ander kader. #
  3. Bevinding naar maatregel: veel op veel. Een bevinding noemt per maatregel wat aantoonbaar niet werkt, met een reden. Het OR en het SR volgen daaruit (§4.2). #
  4. Maatregel naar control: veel op veel. Eén control kan meer maatregelen toetsen, en één maatregel kan door meer controls worden getoetst. #

4. Bevindingen#

4.1 Wat een bevinding is#

Een aangetoond feit dat laat zien dat een maatregel niet werkt, of niet bestaat terwijl de organisatie denkt dat hij er is. Twee dingen zijn geen bevinding:

  1. Een kaderstand. "Niet geïmplementeerd", rood in het privacykader of "niet voltooid" in de BCM-set is een gat dat al meetelt via het niveau (§5). Wie er een bevinding van maakt, telt het dubbel. #
  2. Een zorg of verwachting. Zonder vastgesteld feit, datum en bron is het een risico-inschatting. Die hoort in een risicosessie over het OR. #

4.2 Afleiding: de maatregel is het anker#

  1. De bevinding noemt één of meer maatregelen met hun sleutel (BIO2:8.08.02, BCM:8.5, AVG:A15), elk met een reden. #
  2. Het primaire OR is het OR van de eerste maatregel. De overige maatregelen geven de secundaire OR's. Het SR is het SR van het primaire OR. Niemand typt een OR of SR bij een bevinding. #
  3. Het menselijke oordeel zit in twee dingen: welke maatregel faalt, en de score (kans maal impact). #
  4. Uitzondering. Past geen enkele maatregel, dan mag een bevinding direct onder een OR hangen, met een motivering. Elke uitzondering wordt gemeld, want ze wijst op een gat in de standaardlijst of de maatregelenset. #

4.3 Schema#

Veld Verplicht Inhoud
code ja B-nn, doorlopend, nooit hergebruikt
titel ja Het gat als patroon, één niveau smaller dan het OR
aangetoond ja Wat is vastgesteld, door wie (rol) en wanneer
bronsoort ja toets, incident, meting, test of analyse
bron ja Document en vindplaats
peildatum ja Datum van het feit. Ouder dan twaalf maanden zonder herbevestiging wordt gemeld
maatregelen ja Sleutels met reden per maatregel; de eerste bepaalt het primaire OR
uitzondering nee OR plus motivering, alleen als geen maatregel past
kans, impact ja Elk 1 tot en met 5; score is kans maal impact
status ja kandidaat, open, in behandeling, geaccepteerd of gesloten, met datum
acceptatie bij geaccepteerd Het besluit van de risico-eigenaar, met termijn
detail nee Verwijzing naar een gerubriceerd blad; exploiteerbare details staan nooit in het register

4.4 De titel is het gat, aangetoond is het bewijs#

Een bevinding benoemt een patroon, geen gebeurtenis. "Kritieke kwetsbaarheden in extern bereikbare systemen blijven langer open dan de patchtermijn" is een bevinding. "Het VPN-incident van maart" is bewijs, en staat onder aangetoond. Breder is sterker, binnen drie grenzen:

  1. Smaller dan het OR. Is de titel gelijk aan het OR, dan zegt de bevinding niets meer dan het risico. #
  2. Gedragen door het bewijs. Minstens twee onafhankelijke bewijsstukken, of één meting over de hele populatie. Eén incident plus het woord "structureel" is een mening. #
  3. Sluitbaar. Er is één eigenaar denkbaar die het kan oplossen, en het is te zeggen hoe "opgelost" eruitziet. #

4.5 Status#

Alleen open en in behandeling tellen mee in het niveau en de prioriteit.

4.6 Waar bevindingen vandaan komen#

Bronsoort Voorbeelden Hoe het een bevinding wordt
Toets Toets van een control door de tweede of derde lijn, toets van de FG, audit, managementletter Werking of bestaan negatief getoetst, met bewijs
Incident Incidentregister, datalekken, meldingen onder de Cbw Het incident laat zien welke maatregel faalde
Meting Configuratie-exports, kwetsbaarheidsscans, logs Een meetwaarde met datum die de maatregel weerspreekt
Test Pentest, hersteltest, oefening Een geslaagde aanval of een mislukte hersteltest
Analyse Risicoanalyse langs aanvalspaden, DPIA, bedrijfsimpactanalyse Een vastgestelde tekortkoming in het rapport

5. Niveau: opzet, bestaan, werking#

Het niveau van een maatregel is cumulatief: 0 niet in orde of onbekend, 1 opzet, 2 bestaan, 3 werking.

  1. Uit de bron, per kader. Privacy: werking groen (met opzet en bestaan groen) is 3, anders bestaan groen is 2, anders opzet groen is 1, anders 0. Oranje telt niet. BCM: voltooid is 2, deels is 1, niets is 0. BIO 2.0: geïmplementeerd is 2, anders 0. Een zelfbeoordeling komt nooit verder dan bestaan. #
  2. Controls. Heeft een maatregel getoetste controls, dan geldt de zwakste: het niveau is het laagste niveau van de controls die hem toetsen. Alleen zo komt een maatregel op werking. #
  3. Geldigheid. Werking vervalt als een control een toetsronde mist. Het niveau zakt dan naar bestaan. #
  4. Meetellende bevinding. Een open bevinding op een maatregel betekent dat de werking aantoonbaar niet in orde is: het niveau is hooguit 2. #
  5. Onbekend telt als niet in orde. Niet getoetst is 0. #

6. Prioriteit#

Prioriteit is gewicht maal gat. De rangorde:

  1. Eerst de maatregelen onder een OR met een meetellende bevinding, want daar is het gat aangetoond. Daarbinnen op de score van het OR, dan op de score van het SR. De score van een OR is de hoogste score van de meetellende bevindingen waarvan het het primaire OR is. Een secundaire relatie telt niet mee, anders weegt één bevinding meer keren. #
  2. Daarna de maatregelen onder een OR zonder bevinding, op de score van het SR. Buiten de risicoanalyse telt als laagste gewicht. #
  3. Bij gelijke stand het laagste niveau eerst. Een maatregel op werking zakt naar achteren. #

Wat de lijst niet doet: een restrisico berekenen. Of een restrisico aanvaardbaar is, besluit de risico-eigenaar met de acceptatieladder van de eigen risicoanalyse. Een gebruikelijke ladder: kritiek naar de directie, hoog naar het tactisch overleg met een termijn, gemiddeld bij het tactisch overleg, laag bij de eigenaar.

7. Twee soorten eigenaar#

  1. Beheerseigenaar van maatregel en control: richt in, voert uit en levert het bewijs. Staat in de bron van het kader. #
  2. Risico-eigenaar van OR en SR: kiest de behandeling en accepteert restrisico. Staat in het risicoregister van de organisatie. #

Het voorbeeld toont alleen de beheerseigenaar, als rol. Wie welk risico draagt, hoort in het eigen register.

8. Wat de generator doet#

Het script tools/bouw_risicoregister.py (of prompt 3 in prompts.md) doet drie dingen:

  1. Toetsen. Het weigert een bevinding zonder maatregel of motivering, zonder bron of peildatum, met een onbekende maatregelsleutel, een onbekende status of bronsoort, of een dubbele code. Een maatregel onder een OR van een ander kader en een geaccepteerde bevinding zonder besluit worden ook geweigerd. #
  2. Afleiden. OR en SR uit de maatregel, het niveau per maatregel, de score per OR. #
  3. Melden. Uitzonderingen en feiten ouder dan twaalf maanden. #

Het bedenkt geen bevindingen. Wat erin staat, heeft een mens aangenomen.