Als ondernemer is het belangrijk om je niet alleen bewust te zijn van de kansen die zich voordoen binnen jouw organisatie, ook is het belangrijk om de risico’s inzichtelijk te hebben. Wat is van waarde binnen jouw organisatie? En weet je wat je moet doen als hier iets mee gebeurt? Met een risicoanalyse heb je inzichtelijk welke risico’s je loopt en hoe je deze kunt beheersen. Zet deze 4 stappen om tot een risicoanalyse te komen.
Waarom is een risicoanalyse nodig?
Als ondernemer neem je met regelmaat risico’s. Voor je digitale veiligheid is het beheersen van deze risico’s heel relevant. Risico’s beheers je door te kijken naar de interne en externe factoren van de hele organisatie. Externe factoren zijn bijvoorbeeld wetgeving, standaarden, klantverwachtingen en marktontwikkelingen. Bij interne factoren gaat het meer over je financiële situatie, bewustzijn van veiligheid bij het management en de volwassenheid van je organisatie
4 stappen om risico’s te beheersen
Doorloop de volgende 4 stappen om je risico’s in kaart te brengen. Deze stappen helpen je om je onderneming te beschermen op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid.
Stap 1 - Bepaal wat je wil beschermen
Begin met het in kaart brengen wat van waarde is voor jouw bedrijf. Denk bijvoorbeeld aan digitale gegevens zoals klantgegevens, unieke ontwerpen, specifieke kennisproducten, recepturen, productiemethoden of productkenmerken. Maar denk ook aan gegevens over je medewerkers, omzet of financiële gegevens en de reputatie van je bedrijf.
Stap 2 - Identificeer de risico’s
Heb je een goed beeld wat het is dat je wilt beschermen? Dan kun je de waarde hiervan gaan bepalen. In deze stap identificeer je welke risico’s er zijn. Heeft iets een hogere waarde voor je bedrijf? Dan zijn de risico’s vaak ook groter. Risico’s zijn er in verschillende vormen. Denk aan een kwetsbaarheid in een informatiesysteem, brandgevaar of een medewerker die bij belangrijke data kan.
- Kijk naar wat je er al eerder binnen je bedrijf is gebeurd. Bijvoorbeeld het verliezen van bestanden of een stroomstoring.
- Houd de geldende wet- en regelgeving nauwlettend in de gaten.
- Hulp nodig bij het in kaart brengen van de risico’s? Er zijn partijen die je kunnen helpen zoals consultants, accountants, boekhouders of juridisch adviseurs.
Stap 3 - Analyseer de gevonden risico’s
Als je een beeld hebt van de risico’s die een gevaar vormen, kun je de risico’s analyseren. Als een ongewenste situatie zich voordoet, wat voor gevolgen heeft dit? Bepaal ook hoe groot de kans is dat het risico zich voordoet. Een inzicht krijgen in de kans en gevolgen is niet altijd even makkelijk. Denk bijvoorbeeld aan de gevolgen van reputatieschade. De kans dat het gebeurt is misschien niet zo groot, maar als het gebeurt, en klanten vertrouwen je niet meer, kan het schadebedrag snel oplopen.
Om dit beter te kunnen bepalen, kun je gebruik maken van een kwalitatieve of een kwantitatieve methode. Vaak worden deze methoden samen gebruikt. De uitkomsten helpen je in de volgende stap om te bepalen welke actie passend is.
- Kwalitatief
Hier praat je niet direct in cijfers en bedragen maar kijk je, in het geval van een kwetsbaarheid, naar of deze makkelijk te misbruiken is. Denk aan de motieven die een hacker kan hebben. Om dit in kaart te brengen kan je termen als ‘Laag’, ‘Medium’ of ‘Hoog’ gebruiken om de kans en gevolgen weer te geven.
- Kwantitatief
Hier praat je wel in cijfers en bedragen en kun je formules gebruiken om zowel de kans, als de gevolgschade te bepalen. Kijk bijvoorbeeld naar statistieken uit het verleden. Hoe vaak heb je het afgelopen jaar bijvoorbeeld een stroomstoring gehad waardoor de computersystemen het niet meer deden? Is dat er één of geen, dan zul je dit anders inschatten dan wanneer dit twintig keer is gebeurd.
Stap 4 - Besluit wat je gaat doen
Nu je de risico’s in kaart hebt en een beeld hebt van de kans en de gevolgen, ga je over tot het nemen van besluiten. Iedere keuze kan geld kosten. Het is daarom belangrijk om goed te bedenken waar je in investeert. Met deze risicomatrix krijg je een indicatie van te nemen acties per risico. Er zijn 4 mogelijke acties die je kunt nemen bij een risico. Deze vier acties variëren per kans en gevolg. Let op: dit is een versimpeling. Er zijn methodes waarbij tenminste 9, 16 of zelfs 25 of meer vakjes worden gebruikt. In dit geval gaat het om de basis:
- Accepteren:
je weet dat je een risico loopt maar je accepteert het risico. In dit vak gaat het vaak om risico’s met een kleine kans en kleine gevolgen.
- Oplossen:
je neemt maatregelen waardoor je het risico zoveel mogelijk beperkt en mogelijk zelfs kunt uitsluiten. In dit vak plaats je risico’s met een grote kans en kleine gevolgen. Bijvoorbeeld: maak een back-up om het verlies van bestanden te voorkomen.
- Overdragen:
je verschuift het risico naar een ander door bijvoorbeeld een verzekering af te sluiten. Een goed voorbeeld hiervan is een brandverzekering. Plaats in dit vak de risico’s met een kleine kans maar met grote gevolgen.
- Stoppen:
je voert de activiteiten waarop je een risico loopt, niet meer uit. In dit vak horen risico’s met een grote kans én grote gevolgen.
Risicoklasse en bijpassende beveiligingsmaatregelen
Neem bovenstaande analyse mee wanneer je aan de slag gaat met het maken van je Cyber Incident Response Plan. Maar na het nemen van besluiten en het maken van dit plan ben je er nog niet. Je dient de risico’s van tijd tot tijd opnieuw te bekijken. De markt, jouw bedrijf, maar ook de technologie staat niet stil. Het kan zijn dat jouw organisatie of omgeving verandert, waardoor er nieuwe risico’s zijn ontstaan of bestaande risico’s in kans of gevolg veranderd zijn. Wil je weten welke beveiligingsmaatregelen passen bij jouw organisatie? Doorloop in enkele minuten de gratis tool van Digital Trust Center en ontvang meteen een handige inventarisatie van beveiligingsmaatregelen.
