Wat is een risicoanalyse? Uitleg met een voorbeeld

Stel dat je team morgen niet bij de projectinformatie kan. Welk werk loopt dan vast? Kun je ergens anders verder? En hoe lang kun je dat volhouden?

Een risicoanalyse is een onderzoek naar wat er mis kan gaan, hoe waarschijnlijk dat is en wat de gevolgen voor jouw bedrijf zijn. Je kijkt wat je daar al tegen doet en bepaalt waar extra aandacht nodig is.

Wat heb je aan een risicoanalyse?

Je kunt je tijd en geld maar één keer besteden. Een risicoanalyse helpt je bepalen welke problemen je wilt voorkomen of beperken, en welke risico’s je voorlopig aanvaardbaar vindt.

Bij informatiebeveiliging kijk je naar situaties waarin informatie verloren gaat, onjuist wordt of bij de verkeerde mensen terechtkomt. Ook tijdelijk niet bij je informatie kunnen, hoort daarbij. Je bepaalt wat belangrijk is, onderzoekt mogelijke problemen en besluit wat je doet.

Dat maakt een gesprek over beveiliging concreet. Bij ‘we moeten iets met back-ups’ is nog onduidelijk wat je wilt bereiken. Bij ‘ons projectteam moet tijdens een storing verder kunnen werken’ kun je onderzoeken wat daarvoor nodig is.

Een risicoanalyse begint bij het werk

Een risico is iets wat kan gebeuren en nadelige gevolgen kan hebben. Om daarover te kunnen beslissen, moet je weten welk werk en welke informatie geraakt worden.

Neem ‘een storing’. Dat kan van alles betekenen. Deze beschrijving geeft meer houvast:

Door een storing bij onze softwareleverancier kunnen we niet bij de projectinformatie. Het hele projectteam kan daardoor niet verder met het werk voor onze klant.

Voorbeeld van een risicoanalyse: het projectteam valt stil

Neem een fictief bureau waar een team samen aan een klantproject werkt. De planning, laatste werkbestanden en afspraken met de klant staan in één online werkomgeving. Iedereen heeft die informatie nodig om zijn deel van het werk te doen.

Wat gebeurt er als de werkomgeving uitvalt?

De eigenaar verwacht aanvankelijk dat het team wel even ander werk kan doen. De projectleider loopt met haar de taken van die dag langs. Bij elke taak zijn de nieuwste bestanden of klantafspraken nodig. Een oude versie op iemands laptop gebruiken zou betekenen dat ze mogelijk met achterhaalde informatie verder werken.

Bij een werkdag uitval ligt het hele projectteam stil. Die uren moeten later worden ingehaald of de oplevering schuift op. Hoe dichter de afgesproken opleverdatum nadert, hoe minder ruimte daarvoor is.

Wat heeft het bureau al geregeld?

Het bureau maakt dagelijks een back-up: een reservekopie van de projectinformatie die apart wordt bewaard. De IT-beheerder laat zien dat de laatste kopie is gemaakt. Het team heeft alleen nog niet getest of het daarmee in een andere omgeving kan doorwerken als de gebruikelijke dienst onbereikbaar is.

Hoe beoordelen ze het risico?

Ze kijken naar twee vragen: hoe aannemelijk is deze situatie, en hoe ernstig zijn de gevolgen? Die gevolgen worden in een risicoanalyse vaak impact genoemd.

Het team kent de kans op een hele werkdag uitval nog niet goed genoeg. De beheerder vraagt daarom storingsinformatie en herstelafspraken bij de leverancier op. Over de gevolgen weten ze al meer: iedereen in het projectteam is afhankelijk van dezelfde omgeving. Een storing kost het bureau dus werktijd van het hele team en kan de oplevering vertragen.

Je kunt kans en gevolgen beoordelen met woorden zoals laag, middel of hoog, als jullie afspreken wat die betekenen. De onderbouwing en ontbrekende informatie blijven daarbij belangrijk. Noteer dus ook waarom je tot een oordeel komt en wat je nog moet controleren.

Wat besluiten ze?

De projectleider bekijkt de planning. Een uur stilstand kan het team opvangen door minder dringend werk te verschuiven. Een halve dag vertraging brengt de opleverdatum in gevaar. De eigenaar wil daarom dat het team binnen een uur verder kan met de informatie die het nodig heeft.

Ze spreken een hersteltest af: de IT-beheerder zet de reservekopie terug in een beveiligde alternatieve werkomgeving. De projectleider controleert of de planning, werkbestanden en klantafspraken compleet en bruikbaar zijn. Samen meten ze hoe lang het duurt voordat het team verder kan werken.

Ze leggen hun afspraak zo vast:

Tot die tijd kan een storing het project nog vertragen. De projectleider houdt bij uitval bij welke werkzaamheden blijven liggen en bespreekt met de klant wat dat voor de oplevering betekent.

Wat verandert er na de test?

Tijdens de test is de projectinformatie na drie uur beschikbaar in de andere omgeving. De reservekopie bevat de wijzigingen van die ochtend nog niet. Met hun aantekeningen kunnen de medewerkers die opnieuw invoeren, maar dat kost nog ongeveer een uur. Pas na vier uur kan het team verder vanaf het punt waar het gebleven was.

De leverancier kan geen zekerheid geven over herstel binnen één werkdag. Een precieze uitvalkans blijft onbekend. Het bureau wil bij een storing daarom kunnen doorwerken zonder op herstel door de leverancier te wachten.

De geteste aanpak haalt het afgesproken uur niet. De eigenaar besluit daarom dat er een aanvullende maatregel nodig is.

De IT-beheerder krijgt de opdracht de benodigde projectinformatie actueel beschikbaar te maken op een tweede, beveiligde plek. Die moet ook bereikbaar zijn als de huidige dienst uitvalt. Twee weken later testen de beheerder en projectleider of het team daarmee binnen een uur verder kan. Ze controleren opnieuw of de informatie compleet en bruikbaar is, en of medewerkers alleen toegang hebben tot wat ze voor hun werk nodig hebben.

Pas met die testuitkomst besluit de eigenaar of de onderbreking en eventueel ontbrekende wijzigingen aanvaardbaar zijn. Tot die tijd blijft de afspraak gelden dat de projectleider bij uitval de gevolgen voor het project en de klant in kaart brengt.

Wat komt er uit een risicoanalyse?

Als je meerdere risico’s onderzoekt, ontstaat een overzicht van mogelijke problemen, bestaande maatregelen en keuzes. Zo’n overzicht heet ook wel een risicoregister.

Per risico leg je vast wat kan gebeuren, hoe je kans en gevolgen beoordeelt en wat je besluit. Soms neem je een extra maatregel. Soms pas je een activiteit aan of stop je ermee. Je kunt ook besluiten een risico te accepteren. Maak dan zichtbaar waarom en wie die keuze mag maken.

Een resterend risico na maatregelen heet restrisico. De dagelijkse back-up beperkt in dit voorbeeld het verlies van projectinformatie. Het team staat bij een storing nog wel uren stil en moet recent werk opnieuw invoeren. Daarom vindt de eigenaar een extra maatregel nodig.

Bekijk de analyse opnieuw als er iets verandert, zoals een nieuwe dienst, andere klantafspraken of een incident. Spreek daarnaast af wanneer je het overzicht periodiek doorneemt.

Zelf beginnen met één risico

Kies werk dat je goed kent, zoals aan een klantproject werken, klantvragen beantwoorden of een dienst leveren. Betrek iemand die dat werk uitvoert en iemand die de gebruikte systemen kent. Bespreek samen wat er mis kan gaan en wat jullie al hebben geregeld.

Werk één risico uit in het invulblad hieronder. Zet bij een onbekend antwoord wie het uitzoekt en wanneer jullie erop terugkomen. Voeg daarna andere processen en risico’s toe.

Kom je de risicoanalyse tegen omdat je met ISO 27001 begint? In het ISO 27001-stappenplan zie je hoe dit onderdeel samenhangt met de rest van het traject. Wil je bespreken hoe de aanpak van NormFrame bij jullie situatie past? Vraag een demo aan.