Risicoanalyse volgens ISO 27005

Welkom bij de ISO 27005-risicoanalyse

Deze wizard volgt het pragmatische procesmodel van ISO/IEC 27005 (informatiebeveiligings-risicomanagement):

• Context — onderwerp, scope, risico-eigenaar en acceptatiecriteria.
• Assets — welke informatie/processen je beoordeelt.
• Risico's — per dreiging: kwetsbaarheid, bruto kans × impact, behandeling, restrisico.

Let op: dit is een hulpmiddel en geen audit of juridisch advies. Stem hoge restrisico's af met de risico-eigenaar, CISO en/of FG. Je antwoorden worden lokaal in deze browser bewaard tot je expliciet de PDF downloadt.

1. Context en afbakening

Leg vast wat je analyseert en wie het restrisico accepteert.

2. Assets en processen

Welke informatie-assets of processen vallen binnen de scope? Eén per regel — je gebruikt ze straks bij het scoren van risico's.

Tip: denk aan zowel digitale als fysieke assets, koppelingen met derden, en het perspectief van betrokkenen (rechten en vrijheden), niet alleen de organisatie.

3. Risicoregister

Kies per risico een dreiging uit de bibliotheek (vult dreiging, aard en een suggestie voor de kwetsbaarheid voor) of vul zelf in. Scoor bruto (vóór maatregelen) en, na de behandeling, het restrisico (netto). Laat netto leeg als er geen maatregelen zijn — dan geldt bruto.

Schaal: kans en impact 1-5 (1 = zeer laag, 5 = zeer hoog). Risicoscore = kans × impact (1 t/m 25): ≤6 laag, 7-12 midden, 13-19 hoog, ≥20 zeer hoog. Behandeling: vermijden, beperken, overdragen (verzekering/contract) of accepteren (gemotiveerd door de risico-eigenaar).

4. Besluit en vaststelling

Leg vast wie de uitkomst en het restrisico vaststelt.

Resultaat

De PDF bevat de context, het volledige risicoregister (bruto + restrisico), de conclusie en de bronnen. Je e-mailadres is nodig voor de download — Hans Leemans krijgt een melding zodat hij eventueel kan aanvullen.