Risico-control

Uit NORA Online
ISOR:Risico-control
Ga naar: navigatie, zoeken
Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Beveiliging Principe)

Risico-control is het monitoren en reviewen van de activiteiten van risico-assessment in relatie met risico-management. Het monitoren en reviewen van risico’s is noodzakelijk omdat risico-factoren: waarde van assets, impact, dreigingen, zwakheden en kans op voorkomen steeds veranderen. Risico-control kan ondersteund worden door extern verkregen informatie aangaande dreigingen en zwakheden.


Criterium

Het risicomanagement- en het risico-assessmentproces behoren continu te worden gemonitord en gereviewd en zo nodig te worden verbeterd.

Doelstelling

Risico

Indeling binnen ISOR

Dit beveiligingsprincipe:

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methode ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27005 (2008E) 12.1 en 12.2

Onderliggende normen

IDConformiteitsindicatorStelling
Cloud_C.02.01 gemonitord en gereviewd

De CSP verifieert regelmatig de criteria die gebruikt worden om de risico te meten en om vast te stellen of ze steeds consistent zijn met organisatiedoelstellingen, de strategie, het beleid en/of de context van de organisatie steeds in beschouwing worden genomen.

Cloud_C.02.02 gemonitord en gereviewd

De vastgesteld risico’s worden in relatie met de factoren: waarde van de assets, dreigingen, zwakheden, kans op voorkomen en impact, te worden gemonitord en geëvalueerd, om een complete risico beeld te behouden en tijdig veranderingen vast te (kunnen) stellen.

Cloud_C.02.03 gemonitord en gereviewd

De CSP zal, met betrekking tot het monitoren van risico, zich continu richten op:

  • nieuwe assets die deel behoren uit te maken van de scope van risico-assessment;
  • veranderingen in de waarde van assets;
  • de mogelijkheid dat nieuwe of toegenomen zwakheden kunnen leiden tot dreigingen;
  • de mogelijkheid dat eerder vastgestelde zwakheden aan nieuwe dreigingen blootstaan;
  • toegenomen impact of consequenties van de beoordeelde risico’s en zwakheden resulterend in een onacceptabel risiconiveau;
  • informatiebeveiligingsincidenten.
Cloud_C.02.04 gemonitord en gereviewd

De CSP voert regelmatig de monitoringsactiviteiten uit en mitigeert de vastgestelde risico’s.

Cloud_C.02.05 gemonitord en gereviewd

Bij het monitoring en reviewen worden onder andere de volgende elementen geadresseerd:

  • wet- en regelgeving en organisatorische/technische context;
  • risico-assessmentaanpak;
  • waarde assets en categorieën;
  • risico-evaluatie-criteria;
  • risico-acceptatie-criteria.