Risicomanagement
Binnen de Baseline Informatiebeveiliging Overheid wordt uitgegaan van een risicogerichte benadering van informatieveiligheid. Deze benadering is gericht op het in kaart brengen van invloeden waar we geen of onvoldoende invloed op hebben. Daar waar onvoldoende maatregelen zijn getroffen kan de organisatie kwetsbaar zijn. Een kwetsbaarheid levert automatisch ook een mate van onzekerheid op voor de bedrijfsprocessen en daarmee de doelstellingen van de organisatie.
Hoewel overheidsorganisaties in hoge mate dezelfde diensten leveren, wil dat niet zeggen dat de omstandigheden ook overal hetzelfde zijn. De wijze van organiseren, de gebruikte techniek en de kennis en vaardigheden van het personeel kunnen per organisatie verschillen. De BIO gaat uit van een basisbeveiligingsniveau (BBN). Bovenop de basis zijn aanvullende maatregelen nodig. Er kunnen ondanks de implementatie van de BIO nog kwetsbaarheden bestaan. Door organisatorische en technische veranderingen kunnen daarnaast steeds weer nieuwe kwetsbaarheden ontstaan.
GAP-analyse
De overheidsmaatregelen hebben een verplicht karakter en dienen daardoor geïmplementeerd te worden. Voor het deel van de controls met overheidsmaatregelen zullen we een GAP-analyse uitvoeren. Op deze manier kunnen we bepalen in welke mate we wel of niet voldoen aan deze verplichte overheidsmaatregelen.
Risicoanalyse
De risicoanalyse bestaat, onafhankelijk van de methode die wordt gekozen, uit een aantal stappen:
Het bepalen van de scope van het onderzoek;
Het in kaart brengen van bedreigingen (dreigingsanalyse);
Het in kaart brengen van de maatregelen (maatregelanalyse / GAP-analyse);
Het in kaart brengen van de kwetsbaarheden;
Het inschatten van de kans van optreden en de schade;
Het identificeren van aanvullende maatregelen.
Vervolgens kunnen de risico’s gemanaged worden doordat voor de aanvullende maatregelen een planning wordt opgesteld.
De jaarplanning
De BIO kan niet in één keer volledig worden geïmplementeerd. Een dergelijke implementatie zou een onevenredige inspanning van de organisatie verlangen. Daarnaast zijn er voor toekomstige technische en organisatorische veranderingen aanpassingen nodig.
Om deze redenen gaat het jaarplan informatieveiligheid dan ook (zoals beschreven bij het ambitieniveau) uit van een systeem van continue plannen, uitvoeren, monitoren en verbeteren. We sluiten hiermee aan op de planning en control cyclus die is ingericht conform het plan-do-check-act principe van Deming (hierna PDCA cyclus).
De cyclus komt terug in het jaarplan en begint met het richting geven aan de organisatie. Met het accorderen van de BIO als normenkader en het instemmen met de bestuurlijke principes van de VNG, is op bestuurlijk niveau commitment gegeven aan de BIO. Het is van belang om dit ook uit te spreken binnen de eigen organisatie en dit te verankeren in het informatiebeveiligingsbeleid.
Aan de hand van het beleid kunnen maatregelen worden geïmplementeerd en gemonitord worden op de naleving van de maatregelen. Met het bijstellen van de maatregelen of het corrigeren van de uitvoering worden verbeteringen doorgevoerd.
Voor een efficiënte en effectieve benadering gaat een jaarplanning minimaal uit van:
Het inventariseren van veranderingen in de organisatie (nieuwe taken, veranderingen in wetgeving etc..);
Het periodiek uitvoeren van controles;
Het periodiek uitvoeren van risicoanalyses (nieuwe of bij veranderingen);
Het periodiek communiceren over beveiliging;
Het periodiek opstellen van rapportages;
Het voorbereiden van audits.
Artikel 2