Calculator

Dreigingsprofiel

Op basis van statistiek blijkt dat sommige branches harder geraakt worden door cybercrime dan andere.

Dreigingsprofiel*

Opereert uw organisatie in één van de volgende branches: Financiële dienstverlening, Gezondheidszorg, Productie, Webshop, Onderwijs. En/of beheert uw organisatie hoogwaardige kennis, militaire of politiek gevoelige informatie en/of grote hoeveelheden (>5000 personen) privacy gevoelige gegevens?

Ja

Nee

Impact

De schade die kan ontstaan wanneer een organisatie wordt getroffen door een incident op het gebied van informatiebeveiliging of privacy bescherming bepaalt in hoge mate het risico van de organisatie. Deze vraag richt zich op drie typen van schadelijke incidenten.

Meer over de verschillende vormen van schade

Impact*

Geef aan wat de maximale schade is (worse case scenario) wanneer één van de bovengeschetste incidenten met de geschetste gevolgschade optreedt. NB. De kosten zijn vaak hoger dan verwacht. Probeer een conservatieve schatting te maken.

Klik hier voor meer toelichting over de antwoorden

Extreem; de schade per incident bedreigt mogelijk het voortbestaan van de organisatie

Groot; de schade per incident is mogelijk niet meer op te vangen binnen de vastgestelde ruimte binnen de begroting van de organisatie.

Aanzienlijk; de schade per incident is op te vangen binnen de vastgestelde ruimte binnen de begroting van de organisatie.

Gering; de schade per incident is aanvaardbaar.

Toepasselijkheid

Afhankelijk van wijze waarop de ICT infrastructuur is ingericht liggen meer- of minder taken en verantwoordelijkheden voor informatiebeveiliging en privacy bescherming bij de eigen organisatie.

Toepasselijkheid*

De volgende vier ICT profielen beschrijven situaties waarbij de toepasselijkheid varieert van 1) minimaal afhankelijk, maximaal uitbesteed, naar 4) maximaal afhankelijk, minimaal uitbesteed. Welke van de volgende vier ICT profielen past het beste bij uw organisatie.

Profiel 1.

Voor de primaire bedrijfsprocessen niet afhankelijk van de ICT infrastructuur.
Medewerkers hebben een PC, laptop, tablet en/of smartphone maar gebruiken die uitsluitend in combinatie met pakketten zoals Office 365.
Voor de administratieve processen van de organisatie wordt externe software gebruikt.

Profiel 2.

Voor de primaire bedrijfsprocessen afhankelijk van de ICT infrastructuur.
Maakt gebruik van software voor het uitvoeren van bedrijfsprocessen i.c.m. pakketten zoals Office 365.
Een zakelijke dienstverlener beheert de persoonlijke werkstations en de lokale ICT voorzieningen.

Profiel 3.

Voor het uitvoeren van de bedrijfsprocessen primair afhankelijk van een goed functionerende ICT infrastructuur.
Afhankelijk van maatwerk software die lokaal- of in de cloud door een zakelijke dienstverlener gehost en beheerd wordt.
Medewerkers gebruiken apparaten met Office 365 en GSM diensten die door een zakelijke dienstverlener beheerd worden.

Profiel 4.

Voor het uitvoeren van de bedrijfsprocessen primair afhankelijk van een goed functionerende ICT infrastructuur die voor een deel in eigen beheer is.
Gebruikt een lokale en/of cloud omgeving om zelf maatwerk software te beheren.
Persoonlijke werkstations en lokale infrastructuur zijn in eigen beheer.

Volwassenheid

Volwassenheid*

De wijze waarop een organisatie informatiebeveiliging en privacy bescherming organisatorisch heeft ingebed en structureel uitvoert wordt beschreven door de volgende 3 volwassenheidsniveaus. Welke van de niveaus past het beste bij uw organisatie.

1. Initieel;

Taken voor informatiebeveiliging worden ad-hoc en reactief uitgevoerd.
Afhankelijk van individuele personen en/of toeleveranciers.
Directie is bewust van risico’s maar er is geen organisatiebrede aanpak.
De beveiligingsmaatregelen zijn ICT gebaseerd, afhankelijk van de aanwezige kennis en niet op elkaar afgestemd.

2. Herhalend;

Taken voor informatiebeveiliging worden gecoördineerd door één persoon die informeel is aangewezen.
De behoefte aan informatiebeveiliging wordt gaande een invoeringstraject van een nieuw bedrijfsmiddel of dienst vastgesteld.
Directie is bewust van beveiliging en problemen worden geïdentificeerd en opgelost.
De beveiligingsmaatregelen zijn afgestemd op best practises.

3. Gedefinieerd;

Taken voor informatiebeveiliging zijn formeel toegewezen.
Er is een organisatie brede aanpak voor informatiebeveiliging en privacybescherming gebaseerd op gedocumenteerd beleid en processen.
De directie stelt beveiligingsdoelen en controleert of deze worden behaald.
De beveiligingsmaatregelen worden op basis van risicomanagement opgezet.

Weerbaarheid

Het voorkomen van incidenten op het gebied van informatiebeveiliging en privacybescherming gebeurt door het treffen van maatregelen. De volgende zes thema’s met bijbehorende maatregelen behoren tot de kern van de wettelijke eisen. Ga voor ieder thema na in hoeverre uw organisatie maatregelen treft in overeenstemming met de beschrijving en geef hiervoor een rapport cijfer van 0 (geen van deze maatregelen zijn geïmplementeerd) tot 10 (alle maatregelen zijn overeenkomstig geïmplementeerd).

Weerbaarheid

Veilig personeel (1 – 10);*

de organisatie besteed aandacht aan informatiebeveiliging en privacy bescherming in haar Human Relations Management (HRM) processen. Er is een gedocumenteerde gedragscode met verwijzing naar disciplinaire maatregelen en een geheimhoudingsovereenkomst die formeel onderdeel zijn van de arbeidsovereenkomst. Voorafgaand aan het dienstverband is er een screening en tijdens het dienstverband is er voldoende aandacht voor bewustwording, opleiding en training ten aanzien van informatiebeveiliging en privacy bescherming.