De Friese Waddeneilanden volgen een aanpak van informatiebeveiliging op basis van risicobeheersing. Met een aanpak gebaseerd op risicobeheersing zijn de Friese Waddeneilanden in staat om een evenwichtige set van beveiligingsmaatregelen te implementeren en in staat om daarbij een goede afweging tussen kosten en noodzaak te maken. Risicobeheersing omvat de processen voor de identificatie van risico’s en het selecteren, implementeren en bewaken van maatregelen om deze te reduceren tot een acceptabel niveau. Het risico is de kans op beveiligingsincidenten en de impact daarvan op het werkproces en wordt bepaald door de proceseigenaar.
Het risico van beveiligingsincidenten is de kans op beveiligingsincidenten maal de impact daarvan op het proces: risico = kans x impact.
Voor het bepalen van - te mitigeren - risico’s kijken de Friese Waddeneilanden expliciet naar:
Kans: hoe groot is de kans dat een bedreiging zich binnen een proces en-/of informatiesysteem kan voordoen
Impact: wat is het gevolg van een bedreiging, als deze zich heeft voorgedaan, voor de gemeente in termen als financieel, imago, bestuurlijk en/of haar omgeving
Ook wordt een inschatting gemaakt van de dreigingen waartegen beschermd moet worden. De inschatting van mogelijke schade en dreigingen leidt tot beveiligingseisen om risico’s te beperken. Om deze eisen af te dekken worden passende maatregelen getroffen of wordt het (rest)risico geaccepteerd.
Vanuit de theorie kan men op vijf verschillende manieren een risico benaderen:
Beperken: expliciet benoemen en analyseren van het risico en vervolgens de benodigde maatregelen treffen om de kans en de impact te beperken.
Vermijden: pas het object of activiteit aan zodat het risico niet langer optreedt.
Verplaatsen: pas het object of activiteit aan zodat het risico naar een ander object wordt verplaatst.
Overdragen: beleggen van het geheel of een gedeelte van het risico bij een andere partij door het (proces) uit te besteden aan bijvoorbeeld een leverancier of door het te verzekeren.
Accepteren: expliciet accepteren, door het hoogste bevoegde gezag, van de eventuele schade van het opgetreden risico.
Het startpunt voor een gestructureerde opbouw is het uitvoeren van een nulmeting, een zogenaamde GAP-analyse, op basis van de BIO. Deze analyse is bedoeld om inzicht te krijgen in het zogenaamde ‘gat’ tussen datgene wat nodig is en wat ontbreekt. Op basis van dat inzicht vindt een impactanalyse plaats waardoor de gemeente in staat is om prioritering te geven aan verbeterpunten voor de korte (het zogenaamde laaghangend fruit) en maatregelen voor de lange termijn.
Ook voert de organisatie periodiek risicoanalyses uit ten aanzien van haar informatiesystemen en bedrijfsprocessen. Door specifiek te kijken naar mogelijke bedreigingen en risico`s, en bijpassende maatregelen om risico`s te beperken, zijn de Friese Waddeneilanden in staat om haar systemen en bedrijfsprocessen adequaat en doelgericht te beschermen.
Hoofdstuk 2. › Paragraaf 2.5.
Artikel 2.5.2.
Risicobenadering
Onderdeel van Informatiebeveiligingsbeleid 2024 - 2029