Hoe u compliance-risicobeoordelingen uitvoert met ISMS Copilot

Overzicht

U leert hoe u ISMS Copilot kunt gebruiken om uitgebreide informatieveiligheidsrisicobeoordelingen uit te voeren die zijn afgestemd op ISO 27001, SOC 2 en andere compliance-frameworks, van het definiëren van de methodologie tot het identificeren van risico's, het evalueren van impacts en het opstellen van risicobehandelingsplannen.

Voor wie is dit bedoeld

Deze gids is voor:

• Security-professionals die jaarlijkse risicobeoordelingen uitvoeren

• Compliance-officers die risicobeoordelingsprogramma's beheren

• Organisaties die zich voorbereiden op ISO 27001- of SOC 2-audits

• Risk managers die formele risicobeoordelingsprocessen implementeren

• Consultants die risicobeoordelingen voor klanten uitvoeren

Vereisten

Zorg voordat u begint dat u beschikt over:

• Een ISMS Copilot-account (gratis proefversie beschikbaar)

• Inzicht in de informatie-assets en datastromen van uw organisatie

• Toegang tot systeemarchitectuur-documentatie

• Beschikbaarheid van belanghebbenden voor risicoworkshops en validatie

Voordat u begint

De basis van risicobeoordeling begrijpen

Risicobeoordeling vs. risicomanagement

Verduidelijking van de terminologie:

• Risicobeoordeling (Risk assessment): Het proces van het identificeren, analyseren en evalueren van risico's

• Risicobehandeling (Risk treatment): Het selecteren en implementeren van maatregelen om risico's aan te passen

• Risicomanagement: Het volledige proces inclusief beoordeling, behandeling, monitoring en evaluatie

Kernbegrippen van risico

Begrijp de bouwstenen:

• Asset: Alles wat van waarde is voor de organisatie (data, systemen, mensen, reputatie)

• Dreiging (Threat): Potentiële oorzaak van een ongewenst incident (ransomware, insider-dreiging, natuurramp)

• Kwetsbaarheid (Vulnerability): Zwakte die door een dreiging kan worden misbruikt (ongepatchte software, zwakke wachtwoorden)

• Waarschijnlijkheid (Likelihood): De kans dat een dreiging een kwetsbaarheid zal misbruiken

• Impact: Het gevolg als een risico zich voordoet (financieel verlies, boetes van toezichthouders, reputatieschade)

• Risico: Combinatie van waarschijnlijkheid en impact (vaak berekend als Risico = Waarschijnlijkheid × Impact)

• Risico-eigenaar: Persoon die verantwoordelijk is voor het beheren van een specifiek risico

Framework-vereisten

Verschillende frameworks hebben specifieke eisen voor risicobeoordeling:

Stap 1: Richt uw risicobeoordelings-workspace in

Maak een speciale workspace aan

1. Log in op ISMS Copilot

2. Maak een nieuwe workspace aan: "Risicobeoordeling [Jaar] - [Uw Organisatie]"

3. Voeg aangepaste instructies toe:

Risk assessment context:

Organization: [Company name]
Industry: [SaaS, healthcare, fintech, manufacturing, etc.]
Size: [employees, revenue, locations]
Compliance framework: [ISO 27001, SOC 2, NIST, GDPR, multiple]

Information assets:
- Customer data: [types and sensitivity]
- Systems: [critical applications and infrastructure]
- Intellectual property: [products, algorithms, trade secrets]
- Operations: [key business processes]

Risk appetite:
- Regulatory tolerance: [zero tolerance for compliance violations]
- Financial: [maximum acceptable loss per incident]
- Reputation: [brand protection priorities]
- Operational: [acceptable downtime/disruption]

Assessment approach:
- Method: [asset-based, scenario-based, hybrid]
- Risk calculation: [qualitative, quantitative, semi-quantitative]
- Review frequency: [annual, quarterly for high risks]

Preferences:
- Provide practical, framework-aligned guidance
- Reference specific ISO 27001 clauses or SOC 2 criteria
- Suggest realistic threat scenarios for our industry
- Help prioritize based on actual risk, not just compliance boxes

Stap 2: Definieer uw risicobeoordelingsmethodologie

Documenteer de aanpak voor risico-identificatie

Vraag ISMS Copilot om te helpen bij het opstellen van uw methodologie:

"Maak een document voor de risicobeoordelingsmethodologie voor ISO 27001-compliance. Vermeld: doel en reikwijdte van de methodologie, hoe informatie-assets worden geïdentificeerd, hoe dreigingen en kwetsbaarheden worden geïdentificeerd (dreigingscatalogi, kwetsbaarheidsdatabases, historische incidenten), hoe risico-eigenaren worden toegewezen en de aanpak voor overleg met stakeholders."

Definieer criteria voor risico-evaluatie

Maak uw schalen voor waarschijnlijkheid en impact:

"Definieer schalen met 5 niveaus voor waarschijnlijkheid en impact voor een informatieveiligheidsrisicobeoordeling bij een [bedrijfsbeschrijving]. Voor waarschijnlijkheid: definieer niveaus 1-5 met bereiken voor kans en beschrijvende criteria. Voor impact: definieer niveaus 1-5 rekening houdend met financieel verlies, operationele verstoring, boetes van toezichthouders en reputatieschade. Geef voorbeelden per niveau specifiek voor [sector]."

Voorbeeldoutput die u kunt verwachten:

Maak een risicomatrix voor de berekening

Definieer hoe risicoscores worden berekend:

"Maak een 5×5 risicomatrix die risicoscores weergeeft van waarschijnlijkheid × impact. Gebruik kleurcodes voor risiconiveaus: Laag (groen, scores 1-6), Medium (geel, scores 8-12), Hoog (oranje, scores 15-16), Kritiek (rood, scores 20-25). Dit bepaalt de prioriteiten voor risicobehandeling."

Stel criteria voor risico-acceptatie vast

Definieer de risicobereidheid van uw organisatie:

"Definieer criteria voor risico-acceptatie voor onze risicobeoordelingsmethodologie. Specificeer voor de risiconiveaus (Laag, Medium, Hoog, Kritiek): welke geaccepteerd kunnen worden zoals ze zijn, welke behandelplannen vereisen, welke goedkeuring van de directie vereisen en welke onacceptabel zijn. Houd rekening met onze [regelgevende vereisten, sector, klantverwachtingen]."

Stap 3: Identificeer en inventariseer informatie-assets

Maak een asset-inventarisatie

Begin met een uitgebreide lijst van assets:

"Maak een template voor een informatie-assetinventarisatie voor risicobeoordeling inclusief kolommen: Asset ID, Assetnaam, Assetcategorie (data, systeem, dienst, mensen, faciliteit), Beschrijving, Eigenaar, Custodian, Gebruikers, Classificatie (openbaar, intern, vertrouwelijk, beperkt), Locatie, Afhankelijkheden en Bedrijfskriticiteit. Geef voorbeeldregels voor een [type bedrijf]."

Categoriseer assets

Organiseer assets logisch:

"Categoriseer voor ons [SaaS-platform / zorgsysteem / fintech-applicatie] informatie-assets in: klantgegevens, werknemersgegevens, intellectueel eigendom, bedrijfssystemen (CRM, finance, HR), infrastructuur (servers, netwerk, cloud), fysieke assets en diensten van derden. Geef voor elke categorie typische voorbeelden die relevant zijn voor ons bedrijf."

Classificeer assets op kriticiteit

Niet alle assets zijn even belangrijk:

"Definieer criteria voor assetclassificatie op basis van: vertrouwelijkheidseisen (openbaar tot zeer beperkt), integriteitseisen (belang van datacorrectheid), beschikbaarheidseisen (acceptabele downtime) en bedrijfskriticiteit (impact bij compromittering of onbeschikbaarheid). Maak een classificatieschema met 3-4 niveaus en voorbeelden per niveau."

Upload bestaande documentatie

Maak gebruik van wat u al heeft:

1. Upload systeemarchitectuur-diagrammen, datastroomdiagrammen of asset-inventarisaties (PDF, DOCX)

2. Vraag: "Bekijk deze systeemarchitectuur en extraheer informatie-assets voor de risicobeoordeling. Identificeer: datastores, applicaties, infrastructuurcomponenten, integraties van derden en kritieke bedrijfsprocessen. Maak een initiële asset-inventarisatie op basis van deze documentatie."

Stap 4: Identificeer dreigingen en kwetsbaarheden

Identificeer relevante dreigingen

Gebruik AI om dreigingsscenario's te genereren:

"Identificeer voor een [sector] organisatie informatieveiligheidsdreigingen in de categorieën: cyberdreigingen (ransomware, phishing, DDoS, datalekken, insider-dreigingen), fysieke dreigingen (brand, overstroming, diefstal, ongeoorloofde toegang), omgevingsdreigingen (stroomuitval, HVAC-storing), menselijke dreigingen (fouten, nalatigheid, kwaadwillende insiders) en dreigingen van derden (lek bij leverancier, uitval cloudprovider). Prioriteer op relevantie voor onze sector."

Asset-specifieke dreigingsanalyse

Identificeer de toepasselijke dreigingen voor elk kritiek asset:

"Identificeer voor onze klantendatabase met [datatypen] specifieke dreigingen: scenario's voor ongeoorloofde toegang, methoden voor data-exfiltratie, risico's op datacorruptie, beschikbaarheidsdreigingen (verwijdering, versleuteling, systeemstoring) en scenario's voor insider-dreigingen. Beschrijf voor elke dreiging: de aanvalsvector, het type dreigingsactor en de typische motivatie."

Identificeer kwetsbaarheden

Koppel kwetsbaarheden aan dreigingen:

"Identificeer voor onze omgeving [beschrijf infrastructuur, technologiestack] veelvoorkomende kwetsbaarheden: technische kwetsbaarheden (ongepatchte systemen, verkeerde configuraties, zwakke versleuteling), proceskwetsbaarheden (gebrek aan procedures, ontoereikende controles), fysieke kwetsbaarheden (zwaktes in de toegang tot faciliteiten) en menselijke kwetsbaarheden (onvoldoende training, vatbaarheid voor social engineering). Verwijs naar CVE-databases en de OWASP Top 10 waar van toepassing."

Houd rekening met sectorspecifieke dreigingen

Krijg contextbewuste threat intelligence:

"Wat zijn de belangrijkste informatieveiligheidsdreigingen voor [zorg / financiële dienstverlening / SaaS / productie] organisaties in 2024-2025? Geef voor elke dreiging: gegevens over het voorkomen, typische aanvalspatronen, voorbeelden van incidenten uit de praktijk en waarom deze sector het doelwit is. Prioriteer op waarschijnlijkheid en impact."

Stap 5: Beoordeel bestaande beheersmaatregelen (controls)

Inventariseer huidige controls

Documenteer welke bescherming al bestaat:

"We hebben momenteel deze beveiligingsmaatregelen: [lijst met beleid, technische controls, tools, procedures]. Categoriseer ze per: preventieve controls (voorkomen incidenten), detectieve controls (identificeren wanneer incidenten plaatsvinden), correctieve controls (herstellen normale werking) en afschrikkende controls (ontmoedigen dreigingsactoren). Beoordeel hun effectiviteit."

Evalueer de effectiviteit van controls

Controls op papier zijn niet hetzelfde als werkende controls:

"Definieer voor elke control [toegangsbeoordelingen, versleuteling, back-ups, security awareness training] criteria om de effectiviteit te beoordelen: Is het geïmplementeerd zoals ontworpen? Werkt het consistent? Is er bewijs van de werking? Pakt het het risico voldoende aan? Maak een schaal voor effectiviteit (Niet geïmplementeerd, Gedeeltelijk effectief, Grotendeels effectief, Volledig effectief)."

Identificeer hiaten in controls

Zoek uit waar bescherming ontbreekt:

"Koppel de geïdentificeerde dreigingen [lijst met belangrijkste dreigingen] aan onze bestaande controls [lijst met controls]. Identificeer: dreigingen zonder controls (niet gemitigeerd), dreigingen met onvoldoende controls (gedeeltelijk gemitigeerd) en dreigingen met meerdere overlappende controls (defense in depth). Wijs op hiaten waarvoor nieuwe controls nodig zijn."

Stap 6: Evalueer waarschijnlijkheid en impact

Beoordeel waarschijnlijkheid met bestaande controls

Houd rekening met huidige bescherming bij het evalueren van de waarschijnlijkheid:

"Beoordeel voor de dreiging van een [ransomware-aanval op productiesystemen] de waarschijnlijkheid, rekening houdend met onze bestaande controls: endpointbescherming, e-mailfiltering, MFA, back-ups, security awareness training, netwerksegmentatie. Welk cijfer is passend op onze 1-5 waarschijnlijkheidsschaal? Geef een onderbouwing met verwijzing naar de effectiviteit van de controls."

Evalueer impactscenario's

Kwantificeer potentiële gevolgen:

"Als de [klantendatabase met PII] zou worden gecompromitteerd via [ongeoorloofde toegang], beoordeel dan de impact op de volgende dimensies: Financieel (kosten incidentrespons, boetes van toezichthouders, gederfde inkomsten), Operationeel (systeemdowntime, inzet van middelen), Regelgeving (AVG-boetes, toezicht van toezichthouders) en Reputatie (klantvertrouwen, merkschade, media-aandacht). Geef cijfers op onze 1-5 impactschaal met rechtvaardiging."

Overweeg meerdere scenario's

Risico-impacts verschillen per scenario:

"Evalueer voor ons [back-upsysteem] de impact van verschillende scenario's: 1) Back-ups falen tijdens normale werking (ontdekt tijdens testen), 2) Back-ups falen en we moeten herstellen van ransomware, 3) Back-ups zijn gecompromitteerd door een aanvaller. Beoordeel voor elk scenario het impactniveau en leg uit waarom ze verschillen, ook al betreffen ze hetzelfde asset."

Stap 7: Risico's berekenen en prioriteren

Bereken risicoscores

Pas uw methodologie consistent toe:

"Bereken met behulp van onze risicomatrix (Waarschijnlijkheid × Impact) de risicoscores voor deze scenario's: [lijst met 5-10 geïdentificeerde risico's met hun waarschijnlijkheids- en impactcijfers]. Geef voor elk risico: de risicoberekening, het risiconiveau (Laag/Medium/Hoog/Kritiek) en de prioriteitsrangschikking. Laat zien hoe dit berekend is."

Maak een risicoregister

Documenteer alle beoordeelde risico's:

"Maak een template voor een risicoregister inclusief kolommen: Risico-ID, Risico-omschrijving, Gerelateerde Asset(s), Dreiging, Kwetsbaarheid, Bestaande controls, Waarschijnlijkheid (1-5), Impact (1-5), Inherente risicoscore, Effectiviteit controls, Restrisicoscore, Risiconiveau, Risico-eigenaar, Besluit over behandeling (Accepteren/Mitigeren/Overdragen/Vermijden), Status van behandeling. Vul dit met voorbeeldregels uit onze beoordeling."

Prioriteer voor behandeling

Niet elk risico vereist onmiddellijke actie:

"Prioriteer op basis van ons risicoregister de risico's voor de behandelingsplanning. Houd rekening met: risicoscore, kosten van behandeling vs. kosten van impact, regelgevende vereisten, klantverwachtingen, trend (toenemend of afnemend) en complexiteit van de behandeling. Maak een geprioriteerde backlog voor behandeling met de onderbouwing voor de volgorde."

Stap 8: Ontwikkel risicobehandelplannen

Selecteer behandelopties

Kies voor elk risico de juiste respons:

"Beveel voor deze hoge en kritieke risico's [lijst met risico's] een behandelstrategie aan: Mitigeren (aanvullende controls implementeren om waarschijnlijkheid of impact te verminderen), Accepteren (documenteer acceptatie met rechtvaardiging), Overdragen (verzekering, outsourcing) of Vermijden (stopzetten van de activiteit die het risico veroorzaakt). Stel voor mitigatie specifieke controls voor met een kosten-batenanalyse."

Ontwerp mitigerende controls

Specificeer concrete acties:

"Voor het risico van [ongeoorloofde toegang tot productiedatabases] zijn de huidige controls [lijst bestaande controls], het restrisico is Hoog (score 15). Ontwerp een mitigatieplan inclusief: te implementeren aanvullende controls (technisch en procedureel), tijdlijn voor implementatie, benodigde middelen, verantwoordelijke partij, verwachte risicoreductie (beoogd restrisiconiveau) en schatting van de implementatiekosten."

Maak een roadmap voor behandeling

Bepaal de volgorde van risicobehandelingsinitiatieven:

"Maak op basis van onze risicobehandelplannen een implementatie-roadmap voor de komende 12 maanden. Organiseer per: Quick wins (0-3 maanden, lage inspanning/hoge impact), Strategische initiatieven (3-6 maanden, aanzienlijke investering), Lange-termijnprojecten (6-12 maanden, complex of kostbaar). Specificeer per initiatief: aangepakte risico's, te implementeren controls, afhankelijkheden, benodigde middelen en succescriteria."

Stap 9: Koppel risico's aan compliance controls

Mapping naar ISO 27001-controls

Koppel risico's aan Annex A-controls:

"Koppel deze geïdentificeerde risico's [upload of lijst risico's] aan ISO 27001:2022 Annex A-controls die deze zouden mitigeren. Maak een mapping met: Risico-ID, Risico-omschrijving, Toepasselijke Control(s) (bijv. A.8.2, A.8.23), Doelstelling van de control en hoe de control de waarschijnlijkheid of impact vermindert. Dit ondersteunt onze Verklaring van Toepasselijkheid."

Afstemming op SOC 2-criteria

Verbind risico's met de Trust Services Criteria:

"Koppel onze risicobeoordelingsresultaten aan de SOC 2 Common Criteria. Identificeer voor elke risicocategorie [toegangsbeheer-risico's, wijzigingsbeheer-risico's, beschikbaarheidsrisico's, etc.]: relevante Common Criteria-beheersingsdoelstellingen (CC1-CC9), specifieke controls die het risico aanpakken en welk bewijsmateriaal de risicomitigatie aantoont. Dit ondersteunt onze SOC 2-systeembeschrijving."

Rechtvaardig de selectie van controls

Toon een risicogebaseerde aanpak aan:

"Documenteer voor onze Verklaring van Toepasselijkheid waarom we deze ISO 27001-controls hebben geselecteerd [lijst controls]. Verwijs bij elke control naar: welke geïdentificeerde risico's deze aanpakt (Risico-ID's), de risicoscores vóór de control, de verwachte risicoreductie en waarom deze control passend is voor onze context. Dit bewijst dat de selectie van controls risico-gedreven is en niet willekeurig."

Stap 10: Documenteer en communiceer bevindingen

Maak een management samenvatting (executive summary)

Rapporteer aan de directie:

"Maak een samenvatting van de risicobeoordeling voor de directie, inclusief: reikwijdte en methodologie van de beoordeling, totaal aantal geïdentificeerde risico's per niveau (Kritiek: X, Hoog: Y, Medium: Z, Laag: W), top 10 risico's die onmiddellijke aandacht vereisen, belangrijkste risicothema's of -patronen, aanbevolen investeringen voor behandeling, restrisico na geplande behandelingen en vergelijking met eerdere beoordelingen (indien van toepassing). Doel: directieoverzicht van 2 pagina's."

Ontwikkel een technisch risicorapport

Gedetailleerde bevindingen voor uitvoerders:

"Maak een uitgebreid risicobeoordelingsrapport inclusief: management samenvatting, documentatie van de methodologie, asset-inventarisatie, analyse van dreigingen en kwetsbaarheden, resultaten van de risico-evaluatie, volledig risicoregister, visualisatie van de risicohittekaart (heat map), aanbevelingen voor behandeling met kostenramingen, roadmap voor implementatie en bijlagen (waarschijnlijkheids-/impactschalen, control-catalogus). Formatteer dit voor indiening bij een ISO 27001-audit."

Presenteer aan belanghebbenden

Communiceer naar verschillende doelgroepen:

"Maak drie versies van de communicatie over de risicobeoordeling: 1) C-level presentatie (5 slides: belangrijkste bevindingen, top risico's, budgetaanvraag), 2) Briefing technisch team (details implementatie controls, verantwoordelijkheden), 3) Rapportage risicocommissie van de RvB (governance, afstemming risicobereidheid, inzichtbehoeften). Stem de boodschap en het detailniveau af op elke doelgroep."

Stap 11: Plan monitoring en evaluatie

Stel risicomonitoring in

Risico's veranderen over de tijd:

"Ontwerp een programma voor risicomonitoring inclusief: welke risico-indicatoren te volgen (threat intelligence, incidentfrequentie, falen van controls, resultaten kwetsbaarheidsscans), monitoringfrequentie (continu, maandelijks, driemaandelijks), triggers voor herbeoordeling (nieuwe dreigingen, grote wijzigingen, significante incidenten), rapportageschema voor het management en toewijzing van verantwoordelijkheden."

Plan periodieke evaluaties

Houd de risicobeoordeling actueel:

"Maak een kalender voor risico-evaluatie: jaarlijkse uitgebreide herbeoordeling (ISO 27001-vereiste), driemaandelijkse evaluaties van hoge en kritieke risico's, maandelijkse threat intelligence-updates, ad-hoc evaluaties getriggerd door [grote systeemwijzigingen, nieuwe wetgeving, significante incidenten, M&A-activiteit]. Documenteer de evaluatieprocedures en op te leveren resultaten voor elk type evaluatie."

Volg de voortgang van de risicobehandeling

Zorg dat plannen werkelijkheid worden:

"Ontwerp een mechanisme om de risicobehandeling te volgen inclusief: status behandelplan (Niet gestart, In uitvoering, Voltooid), mijlpalen en deadlines, blokkades of problemen, budgetverbruik, behaalde vermindering van de risicoscore en verwachte voltooiingsdata. Maak een dashboard-formaat voor maandelijks overleg met het management."

Veelgemaakte fouten bij risicobeoordeling

Volgende stappen na de risicobeoordeling

U heeft uw compliance-risicobeoordeling voltooid:

• ✓ Risicomethodologie gedocumenteerd en goedgekeurd

• ✓ Informatie-assets geïdentificeerd en geclassificeerd

• ✓ Dreigingen en kwetsbaarheden gecatalogiseerd

• ✓ Bestaande controls geëvalueerd

• ✓ Risico's beoordeeld met waarschijnlijkheids- en impactscores

• ✓ Risicoregister opgesteld en geprioriteerd

• ✓ Behandelplannen ontwikkeld

• ✓ Bevindingen gedocumenteerd en gecommuniceerd

• ✓ Processen voor monitoring en evaluatie vastgesteld

Ga verder met de implementatie:

• Gebruik de risicobehandelplannen om de implementatie van controls te sturen

• Werk de Verklaring van Toepasselijkheid bij met risicorechtvaardigingen

• Begin met het verzamelen van bewijs van risicomonitoring en -behandeling

• Plan driemaandelijkse risico-evaluaties voor hoge en kritieke risico's

Hulp krijgen

• Documentatie uploaden: Leer hoe u systeemdiagrammen en documentatie uploadt voor asset-identificatie

• Risicoscenario's verifiëren: Begrijp hoe u AI-hallucinaties voorkomt bij het valideren van threat intelligence

• Best practices: Bekijk hoe u ISMS Copilot verantwoord gebruikt voor de kwaliteit van risicobeoordelingen