De risicobeoordeling is het document waarop ISO 27001 al het andere bouwt, en het document dat het vaakst wordt gekocht als een spreadsheetsjabloon met andermans risico's erin. Paragraaf 6.1.2 vraagt geen sjabloon; zij vraagt een proces dat vijf dingen oplevert: risicocriteria, zowel voor het aanvaarden van risico's als voor het uitvoeren van beoordelingen; een identificatie van de informatiebeveiligingsrisico's, met hun eigenaren; een analyse van de mogelijke gevolgen en de realistische waarschijnlijkheid, die een niveau geeft; een evaluatie tegen de criteria, met de risico's geprioriteerd voor behandeling; en resultaten die van de ene beoordeling op de andere consistent, geldig en vergelijkbaar zijn. Paragraaf 6.1.3 gaat verder met de behandeling: de opties, de benodigde maatregelen, de vergelijking met bijlage A zodat niets noodzakelijks is weggelaten, de verklaring van toepasselijkheid, en het risicobehandelplan goedgekeurd door de risico-eigenaren met hun aanvaarding van het restrisico. Dit artikel leest de twee paragrafen voor een softwarebedrijf en beschrijft de methode die de gratis pagina gebruikt om het register en het plan te schrijven, tegen de 93 maatregelen die het pakket als gegevens bijhoudt en de startrisico's die het product op dag één zaait.

Een methode die de norm aan u laat

ISO 27001 eist criteria en een herhaalbaar proces; zij eist geen bepaalde schaal, heatmap of formule, en ISO/IEC 27005 geeft richtsnoeren in plaats van regels. De methode van StandardOS, vermeld op het document dat zij schrijft, is bewust klein: waarschijnlijkheid gescoord van 1 tot 5, impact gescoord van 1 tot 5, het niveau als hun product van 1 tot 25, vier banden (laag tot 4, middel tot 9, hoog tot 15, kritiek daarboven) en een aanvaardingsdrempel die het bedrijf kiest, standaard 4, zodat een risico op of onder de drempel wordt behouden met een genoemde eigenaar en een risico erboven wordt behandeld. Een vijfpuntsschaal is genoeg voor een auditor om te zien dat twee beoordelingen van hetzelfde risico een jaar na elkaar vergelijkbaar zijn, en klein genoeg dat een team van tien mensen twintig risico's in een uur scoort. Wat de methode verdedigbaar maakt, zijn niet de getallen maar de consistentie: dezelfde criteria opgeschreven, dezelfde schaal voor elk risico, dezelfde drempel en dezelfde handtekening van de eigenaar onder het restrisico.

De startrisico's die een softwarebedrijf draagt

De identificatiestap is waar een sjabloon het meest misleidt, omdat de risico's van een sjabloon andermans risico's zijn. De risico's van een softwarebedrijf zijn niettemin grotendeels bekend vóór de eerste workshop, en de gratis pagina begint bij de set die het product zaait: phishing die een inloggegeven compromitteert, een verloren of gestolen laptop, de onbeschikbaarheid van een kritieke clouddienst, een back-up die niet terugzet, een vertrokken werknemer wiens toegang open blijft, apparatuur afgevoerd met gegevens erop, een inbreuk bij een leverancier of cloudaanbieder, een incident dat niet op tijd is gedetecteerd of gemeld, een gemiste wettelijke of contractuele eis, beveiligingsverantwoordelijkheden zonder eigenaar, mensen die komen of gaan zonder de beveiligingsbasis, onveilig gedeelde informatie; en, waar de antwoorden dat zeggen, een kwetsbaarheid in de eigen software van het bedrijf, door een leverancier geschreven code die ongecontroleerd in productie komt, een ongeoorloofde openbaarmaking van persoonsgegevens en ongeoorloofde fysieke toegang tot panden. Vijf antwoorden kiezen de set: hoeveel mensen, of het bedrijf software bouwt, of het ontwikkeling uitbesteedt, of het panden heeft, of het persoonsgegevens van klanten verwerkt. Elk startrisico komt met een waarschijnlijkheid, een impact en de maatregelen van bijlage A die het behandelen, alles aanpasbaar, en een risico dat niet geldt wordt verwijderd; een risico dat de set mist, wordt toegevoegd met eigen maatregelen.

Van het plan naar de verklaring van toepasselijkheid

Paragraaf 6.1.3 maakt van het register beslissingen. Voor elk risico boven de drempel kiest het bedrijf een optie: het risico wijzigen met maatregelen, het behouden, de activiteit vermijden, of het delen met een verzekeraar of een leverancier; voor een gewijzigd risico noemt het de maatregelen, en de vereniging van die maatregelen is wat de verklaring van toepasselijkheid dan als van toepassing draagt. Daarom moeten de twee documenten in deze volgorde worden geschreven: een verklaring die A.8.13 als van toepassing noemt zonder een risico dat een back-up niet terugzet, heeft geen motivering voor de regel, en een register dat dat risico behandelt zonder A.8.13 heeft er geen maatregel voor. De gratis pagina schrijft beide richtingen: het plan somt de maatregelen op die elk behandeld risico noemt, en het laatste deel van het document somt elke maatregel op die het plan noemt, wat de invoer is voor de verklaring van toepasselijkheid die op de volgende pagina maatregel voor maatregel wordt geschreven.

Eigenaren, aanvaarding en het interval

Twee dingen die een auditor vóór de scores leest, zijn de eigenaarkolom en de aanvaarding. Elk risico heeft een eigenaar (paragraaf 6.1.2 c) 2)), en elk restrisico wordt door zijn eigenaar aanvaard (6.1.3 f)), en daarom houdt de pagina per regel een eigenaarveld bij en schrijft zij "nog niet genoemd" waar het leeg is in plaats van de cel leeg te laten. De aanvaardingsdrempel is een directiebeslissing, en een bedrijf dat hem van 4 naar 9 verhoogt om het plan korter te maken, moet de vraag verwachten waarom een risico met hoge waarschijnlijkheid en matige impact wordt behouden. Paragraaf 8.2 laat de beoordeling dan herhalen op geplande intervallen of wanneer belangrijke veranderingen worden voorgesteld of zich voordoen: een nieuw productoppervlak, een nieuwe hostingregio, een nieuwe subverwerker, een nieuw team. De link die de pagina schrijft, draagt de antwoorden, de drempel en de scores van elk startrisico in het adres, zodat een versie een link is die kan worden bewaard en met de volgende vergeleken.

Wat ermee te doen

Beantwoord de vijf vragen en lees de startrisico's tegen uw eigen product, verwijder de risico's die niet gelden en voeg toe wat de set mist. Scoor elk met de vijfpuntsschaal, stel de drempel in, noem per regel een eigenaar en kies de optie voor elk risico boven de lijn. Kopieer het document, dateer het, laat de eigenaren de restrisico's aanvaarden en neem de lijst van maatregelen aan het einde mee naar de verklaring van toepasselijkheid. StandardOS zaait dezelfde startrisico's op dag één, houdt de score, de eigenaar en de beoordelingsdatum op elk bij, en maakt van elke behandeling een positie in de verklaring; de kostenpagina zegt hoeveel auditdagen het toepassingsgebied koopt, en de maatregelengids wat elke door het plan genoemde maatregel vraagt.