Van je IT naar je risico's: de volgorde

1. IT-omgeving: wat je hebt, en wat meetelt

Onder IT-omgeving loop je drie stappen. Koppelingen haalt je toestellen en accounts op uit tools zoals Microsoft 365. Inventaris toont alles wat binnenkwam, plus wat je zelf toevoegt. Omvang vraagt hoeveel toestellen, accounts, apps en leveranciers je echt hebt, en legt dat naast de inventaris zodat je ziet wat nog ontbreekt.

Op Omvang vind je ook Buiten NIS2. Wat je daar zet, wordt nergens beoordeeld. Je geeft altijd een reden, en je auditor leest die. Je kan drie dingen buiten zetten:

• Hele groepen, bijvoorbeeld de telefooncentrales die je voor klanten host. Klik op Een groep buiten NIS2 zetten, kies de groep en geef de reden. Voor je bevestigt, zie je hoeveel items mee naar buiten gaan.
• Losse toestellen en andere items, zoals één oude laptop in een kast. Een item in een groep die buiten staat, kan je toch apart terugzetten.
• Regels, ingesteld door je IT-partner. Alleen je IT-partner past die aan.

Weer meenemen maakt het ongedaan.

2. Beveiligingsgroepen: welke delen een eigen blik krijgen

Een beveiligingsgroep is een set toestellen of mensen die een andere bescherming nodig hebben, met de reden erbij. Je hebt er een nodig omdat een risico niet overal even zwaar weegt. Ransomware op de kantoorlaptops legt het werk stil. Op een kioskcomputer is de schade waarschijnlijk veel kleiner, dus daar kies je er mogelijk gewoon voor om het risico te aanvaarden, terwijl je het op de laptops verlaagt. Zonder een groep "Kioskcomputers" krijgt dat risico één score voor beide. Typische groepen zijn servers, kioskcomputers en de machines waarop software van een leverancier draait. Hoe je er een maakt, staat op Groepen maken.

Elke groep wordt apart beoordeeld of niet:

• Vink Apart beoordelen aan bij een groep. Ze schuift naar Apart beoordeeld, in deze volgorde.
• Een groep die je niet aanvinkt, blijft bij Kandidaten, vallen onder Al de rest. Haar items worden samen met de rest beoordeeld.
• Al de rest staat altijd onderaan en bevat alles wat geen groep bevat. Ze ligt vast: je kan ze niet verwijderen en niet apart beoordelen, want ze wordt sowieso beoordeeld. Een groep die Buiten NIS2 staat, kan je evenmin apart beoordelen.
• Groepen zonder inhoud klappen weg onder Lege groepen.

De volgorde telt. Een item hoort bij de eerste groep in de lijst waar het in past. Die groep is er eigenaar van. Een laptop die zowel kantoorlaptop als leveranciersmachine is, telt één keer mee, voor de groep die eerst komt. Elke groep toont wat ze bezit en waarmee ze overeenkomt, bijvoorbeeld "bezit 12, komt overeen met 17". Verschuif een groep met de pijltjes. Voor er iets verandert, zie je welke items van groep wisselen.

Apart beoordelen aanvinken vraagt om een bevestiging. Elk risico dat de groep raakt, krijgt een regel Te doen. De regels die items aan haar verliezen, gaan naar Te herzien: klopt die score nog zonder deze groep? Vink je het uit, dan tellen de assessments van die groep niet meer mee. Je ziet ze nog wel.

3. Assessments: één per groep

De balk bovenaan Beveiligingsgroepen zegt wat de volgende stap is, bijvoorbeeld "Volgende stap: beoordeel Al de rest.", met Beoordeling starten. Of klik op Nieuw assessment bij Assessments.

1. Beantwoord Over welk deel van het bedrijf gaat deze beoordeling? Je kiest een groep die je apart beoordeelt, of Al de rest. Een kandidaat-groep krijgt geen eigen assessment: vink eerst Apart beoordelen aan.
2. Kies Alle vaststellingen (aanbevolen) om elk gekend risico te krijgen dat je bevestigt of afwijst, of Leeg om ze zelf toe te voegen.
3. Heeft die groep al een assessment? Het nieuwste assessment van een groep is het assessment dat telt. Staat het oude nog in de lijst? Archiveer het als je het daar niet meer nodig hebt.

Elke assessmentkaart heeft Hub om de risico's één voor één te overlopen, Wiki voor de pagina zelf, en Archiveren.

• Archiveren haalt een assessment uit de actieve lijst. Je vindt het terug onder Gearchiveerd, en Terugzetten haalt het terug. De tekst onder Gearchiveerd zegt of een gearchiveerd assessment nog meetelt in je register.
• Wil je het echt weg? Open de wikipagina en verwijder het daar. Er staat bewust geen verwijderknop in de lijst.
• Alleen leden die de organisatie mogen aanpassen, zien Archiveren en Terugzetten. Wie alleen mag lezen, ziet de lijst zonder die knoppen.

4. Register: elk risico, per groep

Het register ordent de risico's zoals je groepen geordend zijn. Geldt voor iedereen bevat de risico's die voor het hele bedrijf tellen. Daaronder heeft elke groep die je apart beoordeelt een eigen tak, en Al de rest komt als laatste.

• Open een risico om kans, impact en score te zien, en Geldt voor. Met Groepen kiezen beperk je het risico tot enkele groepen.
• Weegt het risico anders in één groep? Groep toevoegen geeft die groep een eigen kans, impact, eigenaar en behandeling. Bij ransomware voeg je dan "Kioskcomputers" toe, geef je een lagere impact en zet je de behandeling op Aanvaarden, met een reden en een herzieningsdatum. Geldt niet voor deze groep haalt een groep eruit, met een reden die je auditor ziet. Meer op Risico's (Engels).
• Directie keurt goed is waar de directie aanvaarde risico's en de roadmap goedkeurt.
• CSV exporteren geeft je het register als rekenblad.

Waar je register één regel per groep toont, heeft elke regel een stand: Te doen (nog niet beoordeeld), Beoordeeld, of Te herzien (er is iets veranderd, kijk de score na). Oudere assessments van dezelfde groep staan als Vervangen, en die van een groep die je niet meer apart beoordeelt als Vervallen. Geen van beide telt mee.

5. Roadmap: het werk dat de risico's verlaagt

De roadmap bevat de acties die je bevestigde risico's verlagen, zoals MFA aanzetten of back-ups testen. Plan ze per sprint en sleep ze naar Klaar als ze af zijn.

Als er later iets verandert

• Een nieuwe laptop komt vanzelf in een groep als hij past bij de regel van die groep. Niets te doen.
• Je beoordeelt een nieuwe groep apart: haar risico's krijgen regels Te doen, en de regels die items verloren, gaan naar Te herzien.
• Je beoordeelt een groep opnieuw: het nieuwe assessment neemt het over van het oude. Staat het oude nog in de lijst? Archiveer het als je het daar niet meer nodig hebt.