Wat is een risicobeoordeling? Soorten, voordelen en voorbeelden

Ontdek hoe u uw bedrijf kunt beveiligen met een uitgebreide risicobeoordeling op het gebied van cyberbeveiliging. Leer essentiële stappen en methodologieën om uw digitale activa te beschermen tegen steeds veranderende bedreigingen

Het vertrouwen van klanten is altijd de basis geweest waarop alle bedrijven en organisaties staan. Naarmate cyberdreigingen steeds complexer worden, is het beveiligen van bedrijfsgegevens en -activa een belangrijke zorg geworden voor elk bedrijf, groot of klein. Hier komt de rol van risicobeoordeling om de hoek kijken. Risicobeoordelingen op het gebied van cyberbeveiliging zijn niet zomaar een vinkje op een lijstje; ze zijn in feite essentieel voor het identificeren van kwetsbaarheden die moeten worden versterkt tegen mogelijke aanvallen.

Dit artikel is bedoeld om bedrijven te helpen risicobeoordelingen op het gebied van cyberbeveiliging te begrijpen. Het gaat in op de basisprincipes, de vereisten voor een goede beoordeling en de beschikbare methodologieën. Dit artikel laat ook zien welke opmerkelijke voordelen een organisatie kan behalen door een proactieve benadering van risicobeoordeling toe te passen. Aan het einde van deze gids zullen bedrijven in staat zijn om hun cyberbeveiliging zelf effectief te versterken tegen steeds veranderende digitale bedreigingen die een enorm gevaar vormen.

Wat is risicobeoordeling?

Een risicobeoordeling is een proces waarbij mogelijke risico's die schade kunnen toebrengen aan de activa van een organisatie worden geïdentificeerd, geanalyseerd en beoordeeld. In de context van cyberbeveiliging richt het zich op het opsporen van risico's die verband houden met informatiesystemen, gegevens en digitale infrastructuur. Het algemene doel van de cyberbeveiligingsrisicobeoordeling is het minimaliseren van de kans op een inbreuk op de beveiliging en de gevolgen daarvan als een dergelijke gebeurtenis zich toch voordoet. Door zwakke punten en potentiële bedreigingen te identificeren, kan een bedrijf zijn inspanningen op het gebied van cyberbeveiliging optimaal benutten, zodat middelen efficiënt worden ingezet om de kernactiva van het bedrijf te beschermen.

Het belang van risicobeoordeling

Aangezien cyberdreigingen steeds geavanceerder worden, loopt elk bedrijf dat geen interne of externerisicobeoordeling uitvoert, zich blootstelt aan een mogelijk catastrofale inbreuk op de beveiliging. Om deze redenen zijn hier de belangrijkste redenen waarom een beoordeling van beveiligingsrisico's van cruciaal belang is:

1. Identificatie van kwetsbaarheden: Risicobeoordeling helpt bij het opsporen van zwakke plekken in uw systemen die door cybercriminelen kunnen worden misbruikt.
2. Prioritering van risico's: Bedrijven moeten eerst werken aan de blootstelling aan de meest bedreigende factoren door de waarschijnlijkheid en impact te evalueren in scenario's met verschillende risico's.
3. Toewijzing van middelen: Een nauwkeurig uitgevoerde risicobeoordeling kan het proces van toewijzing van middelen voor cyberbeveiliging binnen een organisatie verbeteren, waardoor deze zich echt kan concentreren op de gebieden die van belang zijn.
4. Naleving van regelgeving: Verschillende sectoren zijn wettelijk verplicht om van tijd tot tijd een risicoanalyse uit te voeren. Als een organisatie hieraan niet voldoet, kan dit leiden tot boetes en kan een dergelijke organisatie betrokken raken bij rechtszaken.
5. Incidentrespons: Inzicht in potentiële bedreigingen en kwetsbaarheden maakt het mogelijk om robuuste strategieën te ontwikkelen voor incidentrespons en zo de schade als gevolg van beveiligingsincidenten tot een minimum te beperken.

Hoe voert u een cyberbeveiligingsrisicobeoordeling uit?

Bij een cyberbeveiligingsrisicobeoordeling worden alle verschillende digitale activa binnen uw organisatie, of het nu gaat om hardware, software, gegevens, netwerkinfrastructuur of andere zaken, opgesomd en gecatalogiseerd. Zodra u een inventaris hebt, kunt u potentiële bedreigingen en kwetsbaarheden met betrekking tot elk respectief activum op uw lijst opsporen. Dit omvat bekende kwetsbaarheden in de huidige systemen, mogelijke aanvalsvectoren of de huidige beveiligingsfuncties.

De volgende stap is het analyseren en rangschikken van de risico's op basis van hun impact en waarschijnlijkheid. In wezen omvat deze fase normaal gesproken het toekennen van een risicoscore en -classificatie, waarbij risico's worden beoordeeld als hoog, gemiddeld of laag. Op basis van een dergelijke analyse kunt u vervolgens een strategie voor risicobeperking ontwikkelen, die de implementatie van nieuwe beveiligingsmaatregelen, een update van bestaande maatregelen of het accepteren van bepaalde lage risico's. De procedures moeten worden gedocumenteerd en er moet een plan voor periodieke herbeoordelingen worden opgesteld, omdat het dreigingslandschap voortdurend in ontwikkeling is.

Scroll naar beneden voor meer informatie over de stappen van een cyberbeveiligingsrisicobeoordeling.

Wat houdt een cyberbeveiligingsrisicobeoordeling in?

Een goed uitgebalanceerde cyberbeveiligingsrisicobeoordeling omvat normaal gesproken de volgende belangrijke componenten:

1. Identificatie van activa: Het opstellen en bijhouden van een uitgebreide inventaris van alle belangrijke activa, waaronder gegevens, hardware, software en personeel.
2. Identificatie van bedreigingen: Bij het identificeren van bedreigingen wordt een algemene inventarisatie gemaakt van alle mogelijke interne en externe bedreigingen voor de activa.
3. Beoordeling van kwetsbaarheden: Het proces waarbij een oordeel wordt gevormd over de kwetsbaarheden die aanwezig zijn in de systemen en processen van een organisatie.
4. Risicoanalyse: Dit is een analyse van de waarschijnlijkheid en mogelijke impact van elk geïdentificeerd risico, waarbij wordt aangegeven welke risico's echt uw onmiddellijke aandacht vereisen.
5. Risicoprioritering: Het rangschikken van de risico's op basis van hun ernst en impact, om eerst de meest kritieke bedreigingen aan te pakken.
6. Mitigatiestrategieën implementeren: Mitigatiestrategieën zijn maatregelen om het geïdentificeerde risico te minimaliseren en/of te elimineren, zodat de organisatie beter beschermd is tegen bedreigingen.
7. Documentatie: Een uitgebreid rapport met de bevindingen en aanbevelingen van de risicobeoordeling, zodat u een duidelijk stappenplan krijgt om uw cyberbeveiliging te verbeteren.

Verschil tussen risicobeoordeling en risicoanalyse

Hoewel risicobeoordeling en risicoanalyse nauw met elkaar verband houden, hebben ze in het cyberbeveiligingslandschap een verschillend doel:

• Risicobeoordeling: Dit is een proces waarbij risico's worden geïdentificeerd, ingeschat en geprioriteerd. Het vormt de basis voor elke sterke cyberbeveiligingsstrategie, omdat het organisaties helpt of in staat stelt om het volledige spectrum van mogelijke bedreigingen te overzien.
• Risicoanalyse:  Risicoanalyse gaat een stap verder en onderzoekt zowel de waarschijnlijkheid als de gevolgen van bepaalde bedreigingen in meer detail, vaak met behulp van kwantitatieve methoden om de omvang van het waarschijnlijke verlies in te schatten.

Hier volgt een gedetailleerde vergelijking van beide:

Kenmerk	Risicobeoordeling	Risicoanalyse
Reikwijdte	Breed proces dat het identificeren, evalueren en prioriteren van risico's omvat.	Specifieke focus op het kwantificeren van de potentiële impact van geïdentificeerde risico's.
Doel	Helpt organisaties inzicht te krijgen in het volledige spectrum van bedreigingen en een uitgebreide cyberbeveiligingsstrategie te ontwikkelen.	Biedt een gedetailleerd onderzoek naar de waarschijnlijkheid en gevolgen van specifieke bedreigingen om besluitvorming te ondersteunen.
Rol in cyberbeveiliging	De basis van een cyberbeveiligingsstrategie die alle risicogerelateerde activiteiten omvat.	Onderdeel van risicobeoordeling, gericht op de gedetailleerde analyse van specifieke risico's.
Gebruikte methoden	Kwalitatieve en kwantitatieve methoden om risico's te identificeren en te prioriteren.	Voornamelijk kwantitatieve methoden om potentiële verliezen en impact in te schatten.
Resultaat	Identificatie van kritieke risico's en prioritering van mitigatiemaatregelen.	Gedetailleerde schatting van potentiële verliezen en gevolgen van specifieke risico's.
Toewijzing van middelen	Begeleiding bij de algehele toewijzing van middelen aan de belangrijkste risico's.	Verstrekking van gegevens ter ondersteuning van beslissingen over de toewijzing van middelen voor het beperken van specifieke risico's.

Risicobeoordeling en risicoanalyse zijn zeer fundamentele onderdelen van een goed cyberbeveiligingsprogramma, omdat ze informatie verschaffen die zeer relevant is voor het nemen van weloverwogen beslissingen met betrekking tot de toewijzing van middelen en risicobeperking.

Soorten risicobeoordelingen

Er zijn verschillende soorten risicobeoordelingen, die allemaal geschikt zijn voor verschillende omstandigheden en organisatorische vereisten:

1. Kwalitatieve risicobeoordeling: Bij dit type beoordeling worden risico's geïdentificeerd en beschreven met behulp van kwalitatieve maatstaven: hoog-gemiddeld-laag. Deze methode wordt doorgaans toegepast wanneer er weinig numerieke gegevens beschikbaar zijn of wanneer er snel een overzicht van de risico's moet worden verkregen.
2. Kwantitatieve risicobeoordeling: Kwantitatieve risicobeoordeling omvat numerieke gegevens en statistische methoden voor het beoordelen van risico's. Deze techniek wordt veel toegepast in organisaties voor het beoordelen van de financiële impact van bedreigingen.
3. Hybride risicobeoordeling: Hybride risicobeoordeling is een setting die elementen van beide procedures combineert: kwalitatieve en kwantitatieve beoordeling. Deze procedure omvat de voordelen van beide methodologieën om een evenwichtig beeld te krijgen van potentiële bedreigingen en de daarmee samenhangende risico's.

Wanneer voert u een risicobeoordeling uit?

Voer op verschillende momenten tijdens de bedrijfsvoering van uw organisatie een risicobeoordeling uit als onderdeel van de bescherming tegen opkomende bedreigingen. Enkele voorbeelden van situaties waarin een risicobeoordeling van cruciaal belang is:

1. Voordat u nieuwe systemen implementeert: Voer elke keer dat er nieuwe technologie, systemen of procedures worden geïmplementeerd een kwetsbaarheidsbeoordeling uit om mogelijke zwakke punten te kunnen identificeren en maatregelen te kunnen nemen om dergelijke kwetsbaarheden te verhelpen voordat het systeem live gaat.
2. Na een beveiligingsincident: Wanneer uw organisatie te maken heeft gehad met een beveiligingsinbreuk of een ander beveiligingsgerelateerd incident, moet een risicobeoordeling worden uitgevoerd om de efficiëntie van de bestaande beveiliging te evalueren en aan te geven welke voorheen onbekende zwakke punten mogelijk tijdens dat incident aan het licht zijn gekomen.
3. Periodiek: Er moet van tijd tot tijd (minstens eenmaal per jaar of twee keer per jaar) een relatieve risicobeoordeling worden uitgevoerd, zodat men op de hoogte blijft-to-date te blijven over opkomende bedreigingen en kwetsbaarheden. Dit wordt steeds belangrijker voor sectoren waarin cyberdreigingen naar verluidt zijn geëvolueerd.
4. Wanneer wettelijke vereisten veranderen: Als er nieuwe wetten of voorschriften worden uitgevaardigd die van invloed zijn op uw branche, is het belangrijk om uw risicobeoordeling bij te werken om naleving te garanderen, zodat u niet onbedoeld in een juridisch conflict terechtkomt.

Stappen voor cyberbeveiligingsrisicobeoordeling

Cyberbeveiligingsrisicobeoordeling is simpelweg een zorgvuldige aanpak voor het opsporen, evalueren en beperken van risico's voor de digitale activa van uw organisatie. Dit zijn de stappen die zijn geïntegreerd in het voltooien van een goed uitgevoerde risicobeoordeling:

1. Voorbereiding: Bepaling van de reikwijdte en doelstellingen van de beoordeling, de belangrijkste belanghebbenden, de benodigde middelen en het opstellen van een tijdschema voor de voltooiing.
2. Identificatie van activa: Dit omvat een lijst van alle middelen, en deze identificatie heeft betrekking op hardware, software, gegevens en betrokken personen. Op deze manier wordt inzicht verkregen in wat er moet worden beschermd, wat de basis vormt voor het hele risicobeoordelingsproces.
3. Identificatie van bedreigingen: Bekijk alle mogelijke bedreigingen voor activa, waaronder cyberbeveiliging, menselijke bedreigingen en bedreigingen vanuit de omgeving. Bepaal alle mogelijke bedreigingen op basis van de informatie die u hebt verzameld over potentiële tegenstanders en krijg inzicht in het dreigingslandschap.
4. Identificatie van kwetsbaarheden: Zoek mogelijke kwetsbaarheden in uw systemen waarvan de geïdentificeerde bedreigingen kunnen profiteren met behulp van een aanvalsstrategie. Veelvoorkomende kwetsbaarheden zijn onder meer het gebruik van verouderde software, zwakke wachtwoorden en slechte beveiligingsprotocollen.
5. Risico's analyseren: Analyseer nu de waarschijnlijkheid en impact van elk risico, rekening houdend met kwantitatieve en kwalitatieve factoren. Deze stap is bedoeld om uit te leggen welke risico's echt een grote bedreiging vormen voor de organisatie.
6. Risicobeoordeling: Evalueer de risico's op basis van hun ernst en dus op basis van de manier waarop de verschillende risico's uw organisatie kunnen beïnvloeden. De risico's met hoge prioriteit moeten in volgorde van prioriteit worden aangepakt, gevolgd door de risico's met lagere prioriteit.
7. Mitigatieplanning: Bedenk strategieën om een geïdentificeerd risico te beperken op het gebied van preventie, detectie en respons. Dit kan gebaseerd zijn op maatregelen zoals het installeren van firewalls, het trainen van medewerkers of het updaten van software.
8. Implementatie: Implementatie omvat het ontwikkelen en uitvoeren van de risicobeperkende strategieën, waarbij ervoor moet worden gezorgd dat alle belanghebbenden worden geïnformeerd en betrokken. Dit kan nauwe samenwerking met de verschillende afdelingen van uw organisatie vereisen.
9. Monitoring en evaluatie: Blijf de bestaande systemen monitoren en de effectiviteit van de risicobeperkende strategieën evalueren. De beoordeling moet indien nodig worden bijgewerkt om nieuwe kwetsbaarheden en opkomende bedreigingen aan te pakken.

Methodologieën voor risicobeoordeling

Er zijn veel methodologieën die kunnen worden toegepast om cyberbeveiligingsrisico's te beoordelen, en de meeste passen verschillende benaderingen toe om risico's te identificeren en te beheren. Enkele van de meest voorkomende methodologieën zijn:

1. NIST SP 800-30: Dit raamwerk voor risicobeheer van informatiesystemen, ontwikkeld door het National Institute of Standards and Technology, biedt richtlijnen voor het identificeren en formuleren van benaderingen voor het beheren van risico's die verband houden met de implementatie van informatiesystemen. Het wordt veel gebruikt, zowel op federaal niveau als in de particuliere sector.
2. OCTAVE: OCTAVE staat voor Operationally Critical Threat, Asset, and Vulnerability Evaluation (evaluatie van operationeel kritieke bedreigingen, activa en kwetsbaarheden) en is een methodologie voor risicobeoordeling die is ontwikkeld aan de Carnegie Mellon University. OCTAVE legt de nadruk op het identificeren en beheren van risico's binnen de specifieke operationele context van een organisatie.
3. ISO/IEC 27005: Internationale norm die richtlijnen biedt op het gebied van informatiebeveiligingsrisicobeheer. Het maakt deel uit van de internationale normenfamilie ISO/IEC 27000 en wordt algemeen erkend en toegepast door internationale organisaties.
4. FAIR: FAIR of Factor Analysis of Information Risk (factoranalyse van informatie risico's) baseert het proces van risicobeoordeling op kwantitatieve gegevens, aangezien het model zelf specifiek is ontwikkeld voor het analyseren van de impact van informatie. Dit biedt de mogelijkheid om het FAIR-model specifiek toe te passen op organisaties die anders een schatting zouden moeten maken van de kosten bij verschillende incidenten op het gebied van cyberbeveiliging.

Checklist voor cyberbeveiligingsrisicobeoordeling

Door een checklist te gebruiken, kan uw bedrijf ervoor zorgen dat alle stappen in het beoordelingsproces worden uitgevoerd. Hier is een checklist om u te helpen bij het uitvoeren van een cyberbeveiligingsrisicobeoordeling:

1. Bepaal eerst de reikwijdte en doelstellingen van de beoordeling
2. Identificeer alle kritieke activa die moeten worden beschermd
3. Catalogiseer mogelijke interne en externe bedreigingen
4. Evalueer uw systemen op beveiligingskwetsbaarheden.
5. Analyseer de waarschijnlijkheid en mogelijke impact van elk risico
6. Geef risico's prioriteit op basis van hun ernst
7. Ontwikkel maatregelen om de risico's te minimaliseren
8. Implementeer de risicobeperkende strategieën voor de organisatie als geheel
9. Meet regelmatig hoe succesvol uw strategieën zijn en evalueer ze.
10. Herzie de risicobeoordeling indien nodig om ervoor te zorgen dat deze nieuwe risico's aanpakt.

Voordelen van cyberbeveiligingsrisicobeoordeling

Het uitvoeren van een cyberbeveiligingsrisicobeoordeling levert op verschillende manieren een cruciale meerwaarde op voor organisaties:

1. Verbeterde beveiligingsstatus: Door kwetsbaarheden te identificeren en aan te pakken, helpt een risicobeoordeling de algehele beveiligingsstatus van uw organisatie te versterken, waardoor deze beter bestand is tegen cyberdreigingen.
2. Kostenbesparingen: Door risico's proactief aan te pakken, kan uw organisatie aanzienlijke kosten besparen in verband met datalekken, juridische kosten en reputatieschade.
3. Betere besluitvorming: Een goed uitgevoerde risicobeoordeling biedt inzichten met betrekking tot strategische besluitvorming, waardoor uw organisatie haar middelen beter kan inzetten en tegelijkertijd prioriteit kan geven aan beveiligingsmaatregelen.
4. Naleving: In veel sectoren is het wettelijk verplicht om regelmatige, geplande, doorlopende en systematische risicobeoordelingen uit te voeren. Het veiligstellen van de belangen van de organisatie met betrekking tot de regelgeving door het voorkomen van boetes en gerechtelijke procedures is een voordeel dat gepaard gaat met de risicobeoordelingsaanpak.
5. Verbeterde incidentrespons: Begrijp de potentiële bedreigingen of kwetsbaarheden die een rol spelen, zodat organisaties effectieve incidentresponstactieken kunnen ontwikkelen om de gevolgen van eventuele beveiligingsinbreuken te beperken en te beheersen.

Risicobeoordelingssjabloon

Een risicobeoordelingssjabloon is een kant-en-klaar formaat of model om alle mogelijke risico's te analyseren, categoriseren en evalueren. Hier volgt een basisoverzicht van wat een sjabloon voor risicobeoordeling kan bevatten:

1. Inventarisatie van activa: Maak een lijst van alle waardevolle activa die bescherming behoeven (gegevens, systemen, hardware, enz.).
2. Identificatie van bedreigingen: Identificeer mogelijke bedreigingen die van invloed kunnen zijn op de vermelde activa.
3. Kwetsbaarheidsanalyse: Zoek naar kwetsbaarheden in de verdediging waar een aanvaller waarschijnlijk gebruik van zal maken.
4. Risicobeoordeling: Evalueer de kans en ook de ernst van de geïdentificeerde risico's.
5. Risicoprioritering: Benader risico's in termen van het belang of de potentiële impact die ze hebben op de verschillende activiteiten en processen die bij een project betrokken zijn.
6. Mitigatiestrategieën: Zorg voor strategieën om elk van de genoemde risico's te beheersen.
7. Verantwoordelijke partijen: Delegeer verantwoordelijkheden voor bepaalde risico's aan de leden van uw team.
8. Tijdlijn: Geef tijdlijnen voor wanneer risicobeperkende maatregelen in praktijk moeten worden gebracht.
9. Beoordelingsschema: Stel een beleid op voor een noodplan voor de risicobeoordelingen met kortere tussenpozen.

Voorbeelden van risicobeoordeling

Voorbeelden van cyberbeveiligingsrisicobeoordelingen zijn belangrijk om inzicht te krijgen in hoe anderen hun risicobeoordeling hebben uitgevoerd en wat er mogelijk is gedaan om de risico's in de eerste plaats te bestrijden. In dit verband kunnen verschillende scenario's worden geïllustreerd:

1. Financiële instelling: Een grote bank voert een risicobeoordeling uit om mogelijke kwetsbaarheden in haar online bankplatform te identificeren. Uit de beoordeling blijkt dat er verouderde encryptieprotocollen worden gebruikt, waardoor klantgegevens in gevaar komen. De bank implementeert sterkere versleutelingsmethoden en voert regelmatig beveiligingsaudits uit om continue bescherming te garanderen.
2. Zorgverlener: Een ziekenhuis voert een risicobeoordeling uit om de beveiliging van zijn elektronische patiëntendossiers (EPD) te controleren. Er worden kwetsbaarheden gevonden, waaronder zwakke toegangscontroles en een gebrek aan versleuteling van opgeslagen gegevens. Het ziekenhuis voert multi-factor authenticatie en versleuteling in om patiëntgegevens te beschermen.
3. Detailhandelsbedrijf: Een winkelketen moet mogelijk een risicobeoordeling uitvoeren voor zijn kassasystemen (POS). Hierdoor kunnen ze voorkomen dat POS-systemen worden blootgesteld aan malware als gevolg van het gebruik van verouderde software. Bedrijven in de detailhandel werken hun software dan ook regelmatig bij, installeren antimalwarebescherming en geven hun werknemers regelmatig beveiligingstrainingen.

Conclusie

Uiteindelijk moeten bedrijven en organisaties er zeker van zijn dat moderne cyberbeveiliging geen probleem is dat in één keer kan worden opgelost. Het kan een proces zijn dat voortdurende waakzaamheid en kameleontische aanpassingen vereist. Dat betekent dat voortdurende veranderingen in risicobeoordelingen in combinatie met andere beheersmethoden kunnen helpen om op de hoogte te blijven van bedreigingen voor uw organisatie.

Een hoogwaardige organisatorische cyberbeveiligingsrisicobeoordeling is belangrijk om de huidige bedreigingen voor digitale activa in kaart te brengen en die activa te beschermen tegen voortdurend opkomende bedreigingen. Door deze stappen te volgen, ondersteund door de juiste risicobeoordelingsinstrumenten, zorgt u ervoor dat uw organisatie goed is uitgerust met een solide cyberbeveiligingsstrategie om potentiële risico's af te wenden.

FAQs

Welke bedrijven moeten een cyberbeveiligingsrisicobeoordeling uitvoeren?

Een cyberbeveiligingsrisicobeoordeling moet worden uitgevoerd in elke organisatie die sterk afhankelijk is van digitale activa, gegevens en/of systemen. Dat geldt voor bijna alle soorten bedrijfsentiteiten.

Hoe gebruik je een risicomatrix?

De risicomatrix wordt gebruikt als een instrument om risico's te prioriteren, rekening houdend met de waarschijnlijkheid en het effect ervan. Hierdoor kunnen organisaties meer energie steken in de meest kritieke bedreigingen.

Wat is risicobeoordeling in cyberbeveiliging?

Risicobeoordeling op het gebied van cyberbeveiliging is het belangrijke proces van het identificeren, analyseren en beperken van risico's voor de informatieactiva van een organisatie.

Waarom is risicobeoordeling cruciaal in cyberbeveiliging?

Organisaties hebben risicobeoordeling nodig omdat het hen helpt kwetsbaarheden en bedreigingen te identificeren, waardoor ze hun activa kunnen beschermen via proactieve maatregelen.

Hoe vaak moeten risicobeoordelingen worden uitgevoerd?

Risicobeoordelingen moeten regelmatig worden uitgevoerd, bijvoorbeeld jaarlijks of halfjaarlijks, en telkens wanneer er een grote verandering plaatsvindt in systemen of werkwijzen.

Wie moet risicobeoordelingen uitvoeren?

Risicobeoordelingen moeten worden uitgevoerd door cyberbeveiligingsexperts die een organisatie vertegenwoordigen of door een ingehuurde derde partij, en door professionals met ervaring in het identificeren en beperken van risico's.