Verhelderen
De bedrijfsmiddelen, processen, gegevens, accounts, dienstverleners en afhankelijkheden identificeren die de activiteit werkelijk bepalen.
Module van Galyct Pro · Het risico sturen
Cyberrisico's in kaart brengen en prioriteren
De module bundelt de bedrijfsmiddelen en afhankelijkheden, de EBIOS RM-scenario's, de beoordeling van impact en waarschijnlijkheid, de bestaande maatregelen en het restrisico. Budgetbeslissingen en het behandelplan kunnen aan elk scenario worden gekoppeld.
Het risico begrijpen. De controle terugnemen. Volhouden op lange termijn.
Geïnspireerd op EBIOS RM (ANSSI) · gehost in Frankrijk bij Scaleway · Mistral-AI (EU).
01 · WAAROM
De risicoanalyse moet voorafgaan aan aankopen, projecten en afwegingen.
Zonder gestructureerde lezing van het risico investeert een organisatie vaak in wat visueel geruststelt, niet in wat de activiteit werkelijk beschermt. De module brengt het cyberrisico op het niveau van de directietaal: impact, continuïteit, verantwoordelijkheid, compliance, budget en traject.
Kwalificeren
De gevreesde gebeurtenissen koppelen aan geloofwaardige scenario's: fraude, onbeschikbaarheid, lek, wijziging, afpersing, compromittering of dienstonderbreking.
Afwegen
De behandelingen prioriteren naar impact op de bedrijfsvoering, waarschijnlijkheid, bestaande maatregelen, kost, termijn en aanvaard restrisico.
02 · WANNEER STARTEN
De aanpak is nuttig zodra een cyberbeslissing verantwoord moet worden.
Een beslissing verantwoorden, financieren, verdedigen of afstemmen op een bedrijfsbelang: elke aanleiding opent de juiste afbakening.
Vóór een cyberbudgetIAM, back-ups, EDR, supervisie, BCP/DRP→
Vóór een gevoelig projectCloud, ERP, uitbesteding, nieuwe dienstverlener→
Na een audit of incidentVan technische vaststellingen naar bedrijfsscenario's→
Vóór een verzekering of klantDe beheersing, de afwijkingen en het traject documenteren→
Voor BCP / DRP / BIAContinuïteit, kritieke afhankelijkheden, herstelprioriteiten→
Voor governance of complianceEen gemeenschappelijke basis voor het comité, de DPO, de bedrijfsafdelingen→
03 · DE METHODE
Een aanpak geïnspireerd op EBIOS RM, in vijf workshops.
De methode is zo afgebakend dat ze bruikbaar blijft. Ze kan volledig zijn voor een strategische scope of lichter wanneer het doel is snel een beslissingslezing op te leveren.
1Afbakening van de bedrijfscontextDoelen, scope, essentiële bedrijfsmiddelen, kritieke processen, belanghebbenden en verwachte beslissingen.
2RisicobronnenInterne, externe, menselijke, technische, fysieke, regelgevende en aan dienstverleners gebonden dreigingen.
3Risicoscenario'sGevreesde gebeurtenissen, plausibele aanvalspaden, kwetsbaarheden, bestaande maatregelen, waarschijnlijkheid en impact.
4RisicobehandelingVermijden, verminderen, overdragen of aanvaarden, en daarna maatregelen, verantwoordelijken, budgetten, termijnen en bewijs prioriteren.
5RestrisicoBeoordelen wat overblijft, de aanvaardbaarheid bevestigen, de opvolging, de review en nieuwe afwegingen organiseren.
→Beslissing van de directieHet restrisico wordt ter afweging voorgelegd: verminderen, aanvaarden, overdragen of met voorrang behandelen.
04 · MATRIX & ROSI
Twee lezingen die de afweging houdbaar maken.
De matrix rangschikt. De ROSI becijfert de inspanning. Samen maken ze van een intuïtie een verdedigbare beslissing.
Rangschikken
Matrix impact × waarschijnlijkheid
Elk scenario wordt gepositioneerd volgens zijn impact op de bedrijfsvoering en zijn waarschijnlijkheid. De zones die eruit springen, bepalen de prioriteit: wat de activiteit echt bedreigt, gaat vóór wat geruststelt.
- Impact op de bedrijfsvoering: stilstand, fraude, gegevensverlies, melding, contractbreuk
- Waarschijnlijkheid bijgesteld op basis van de bestaande maatregelen
- Zones van aanvaardbaar, te verminderen of onaanvaardbaar risico
De inspanning becijferen
ROSI & gedocumenteerde afwegingen
Het rendement op beveiligingsinvesteringen (ROSI) koppelt een maatregel aan het risico dat ze vermindert. Het cyberbudget is dan geen comfortuitgave meer: het wordt een gerangschikte, becijferde en gedocumenteerde afweging.
- Kost, termijn en beschermend effect van elke maatregel
- Prioritering naar urgentie, haalbaarheid en afhankelijkheid
- Een beslissing die zich achteraf laat uitleggen, met het budget als onderbouwing
05 · HET RESULTAAT
Het resultaat is geen tabel: het is een traject dat zich laat afwegen.
Het resultaat moet de directie laten begrijpen wat de activiteit bedreigt, wat al beheerst is, wat blootgesteld blijft en wat een budget, een beslissing of een bewust afzien vraagt.
Impact op de bedrijfsvoering
Wat de gebeurtenis concreet zou veranderen: stilstand, fraude, gegevensverlies, onvermogen om te leveren, meldplicht, contractbreuk.
Restrisico
Wat overblijft na de bestaande maatregelen, en wat de organisatie aanvaardt, vermindert of tijdelijk uitstelt.
Geprioriteerde afweging
Acties gerangschikt naar urgentie, haalbaarheid, kost, afhankelijkheid, beschermend effect en verantwoordelijkheid.
05 · VOLWASSENHEID
Waar staat u echt?
De module plaatst uw organisatie op een leesbare volwassenheidsschaal, van blootgesteld tot veerkrachtig, en toont de weg van de ene trede naar de volgende.
Volwassenheidsschaal
BlootgesteldGeen zicht, geen plan
BeheerstEerste vangrails geplaatst
GestuurdRisico's opgevolgd & afgewogen
VeerkrachtigCrisis voorbereid, bewijs op orde
06 · OPLEVERINGEN
Documenten die bruikbaar zijn voor het comité, IT, de DPO en de bedrijfsafdelingen.
De opleveringen zijn ontworpen om niet in een map te blijven liggen: ze ondersteunen beslissingen, budgetten, actieplannen en opvolging.
Managementsamenvatting
Kernboodschappen, grote risico's, verwachte beslissingen, kritieke afwijkingen en voorgesteld traject.
Overzicht bedrijfsmiddelen / afhankelijkheden
Essentiële waarden, ondersteunende middelen, stromen, dienstverleners, accounts, gegevens en kritieke processen.
Risicoscenario's
Strategische en operationele scenario's, voorwaarden voor het optreden, impact en bestaande maatregelen.
Prioriteringsmatrix
Rangschikking naar impact, waarschijnlijkheid, beheersing, urgentie, inspanning, termijn en restrisico.
Behandelplan
Maatregelen voor 30/60/90 dagen, verantwoordelijken, verwacht bewijs, afsluitcriteria en afhankelijkheden.
Document voor het comité
Korte versie voor directie, cybercomité, verzekering, strategische klant, DPO of juridische dienst.
“De opdracht van de bestuurder is niet het risico uit te schakelen. Ze bestaat erin beslissingen te nemen die proportioneel, gedocumenteerd en bewust gedragen zijn, ondanks de onzekerheid.”
Het risico sturen betekent niet mikken op nulrisico. Het betekent een gestructureerde, onderbouwde en bruikbare lezing op een bepaald moment opleveren, en die herzien wanneer een incident, een wijziging in het informatiesysteem of een nieuw bedrijfsbelang de blootstelling verandert.
07 · WAT WE NIET BELOVEN
Een risicoanalyse neemt het risico niet weg.
Ze garandeert niet dat er geen kwetsbaarheid is, niet dat er geen compromittering is en niet dat het risico volledig verdwijnt: er is geen gegarandeerd resultaat. Ze levert een gestructureerde, onderbouwde en bruikbare lezing op een bepaald moment, die herzien moet worden wanneer een incident, een wijziging in het informatiesysteem, een nieuwe afhankelijkheid of een nieuw bedrijfsbelang de blootstelling verandert. Waar we achter staan: bruikbare vaststellingen, traceerbare beslissingen en een traject dat wordt aangehouden.
Bekijk risicosturing in uw eigen context.
Een live demo van 30 minuten over uw bedrijfsmiddelen en uw scenario's, of begin zelf met de gratis directiediagnose. Vrijblijvend.