Handleiding Risico management

Maat: px
Weergave met pagina beginnen:

Download "Handleiding Risico management"

Transcriptie

1 Handleiding Risico management IBPDOC29

2 Verantwoording Opdrachtgever Kennisnet / sambo-ict Dit document is geschreven voor IT managers, IT security officers, Information officers binnen de MBO sector. Dit document geeft een handleiding voor de inrichting en uitvoering van risico management binnen de MBO Sector en handreiking voor de beoordeling van IT risico s. Het document is gemaakt in navolging op de 5 daagse MBO masterclasses. In dit document wordt allereerst ingegaan op de inrichting van de Governance omtrent risico management in het algemeen. Vervolgens wordt de uitvoering van de risico en controle cyclus verder toegelicht. In het laatste hoofdstuk wordt een aanzet gegeven tot het beoordelen van de IT risico s binnen de MBO sector. Auteurs Maurits Toet (Cerrix BV) Ludo Cuijpers (Leeuwenborgh) Esther van der Hei (Nimeto Utrecht) Mei 2015 Sommige rechten voorbehouden Hoewel aan de totstandkoming van deze uitgave de uiterste zorg is besteed, aanvaarden de auteur(s), redacteur(s) en uitgever van Kennisnet geen aansprakelijkheid voor eventuele fouten of onvolkomenheden. Creative commons Naamsvermelding 3.0 Nederland (CC BY 3.0) De gebruiker mag: Het werk kopiëren, verspreiden en doorgeven Remixen afgeleide werken maken Onder de volgende voorwaarde: Naamsvermelding De gebruiker dient bij het werk de naam van Kennisnet te vermelden (maar niet zodanig dat de indruk gewekt wordt dat zij daarmee instemt met uw werk of uw gebruik van het werk). IBPDOC29, versie 0.1 Pagina 2 van 14

3 Inhoudsopgave Verantwoording Inleiding... Fout! Bladwijzer niet gedefinieerd. 1.1 Gebruik van het normenkader... Fout! Bladwijzer niet gedefinieerd. 1.2 Historie en beheer... Fout! Bladwijzer niet gedefinieerd. 1.3 Verantwoording... Fout! Bladwijzer niet gedefinieerd. 2. Samenstelling Normenkader Informatiebeveiliging MBO... Fout! Bladwijzer niet gedefinieerd. 2.1 ISO familie... Fout! Bladwijzer niet gedefinieerd. 2.2 Clustering... Fout! Bladwijzer niet gedefinieerd. 2.3 Motivatie keuze maatregelen... Fout! Bladwijzer niet gedefinieerd. 2.4 Volwassenheidsniveau... Fout! Bladwijzer niet gedefinieerd. 2.5 Toetsingskader... Fout! Bladwijzer niet gedefinieerd. 3. Het Normenkader... Fout! Bladwijzer niet gedefinieerd. 3.1 Beleid en organisatie... Fout! Bladwijzer niet gedefinieerd. 3.2 Personeel, studenten en gasten... Fout! Bladwijzer niet gedefinieerd. 3.3 Ruimtes en apparatuur... Fout! Bladwijzer niet gedefinieerd. 3.4 Continuïteit... Fout! Bladwijzer niet gedefinieerd. 3.5 Vertrouwelijkheid en integriteit... Fout! Bladwijzer niet gedefinieerd. 3.6 Controle en Logging... Fout! Bladwijzer niet gedefinieerd. 4. Ten slotte... Fout! Bladwijzer niet gedefinieerd. 4.1 Besluitvorming... Fout! Bladwijzer niet gedefinieerd. 4.2 Beheer van het normenkader informatiebeveiliging... Fout! Bladwijzer niet gedefinieerd. 4.3 Details Normenkader Informatiebeveiliging MBO en Toetsingskader... Fout! Bladwijzer niet gedefinieerd. 4.4 Publicatie... Fout! Bladwijzer niet gedefinieerd. 4.5 Referenties... Fout! Bladwijzer niet gedefinieerd. Bijlage 1: Samenhang ISO normenkader en HO-normenkader, inclusief nummering. Fout! Bladwijzer niet gedefinieerd. Bijlage 2: Framework MBO IBPDOC29, versie 0.1 Pagina 3 van 14

4 1. Governance van risico management. 1.1 Inleiding Voordat het risicomanagement proces adequaat kan worden uitgevoerd dienen eerst het risicobeleid te worden vastgelegd en gecommuniceerd. Het risicomanagement beleid omvat: Uitgangspunten omtrent risicomanagement; De risico appetite van de onderneming; De taken en verantwoordelijkheden omtrent risico management in uw organisatie. Hieronder worden achtereenvolgens de onderwerpen risico appetite en taken en verantwoordelijkheden verder beschreven. De uitgangspunten komen hier niet aan bod omdat deze voor elke organisatie anders kunnen zijn. 1.2 Risico appetite De risico appetite geeft de risicobereidheid van de organisatie weer. Vaak wordt dit uitgedrukt als een bedrag in EUR. Het betreft dan de totale risicoschade die de organisatie bereid is te accepteren. Daarnaast zijn er ook andere risico appetite varianten mogelijk zoals maximaal aantal keer negatief in media of aantal verloren mensenlevens (ziekenhuizen) Daarnaast wordt de risico appetite ook vaak gespecificeerd naar deelgebieden (voorbeeld voor het MBO: IT, bekostiging, examinering). In deze methode worden eerst de deelgebieden geïdentificeerd en wordt vervolgens per deelgebied een risico appetite gedefinieerd. Vervolgens wordt het totaal van de deelgebieden geconsolideerd tot een risico appetite op organisatie niveau. 1.3 Taken en verantwoordelijkheden Voor de inrichting van taken en verantwoordelijkheden rondom risicomanagement wordt vaak gebruik gemaakt van het 3 lines of defense model wat impliceert dat er binnen uw organisatie drie verdedigingslinies ingericht kunnen worden om risico s adequaat te managen. Binnen dit model heeft elke linie zijn eigen specifieke functie. In figuur 1 vindt u hiervan een conceptuele weergave. Toezichthouders Bestuur / directie Eindverantwoordelijk 1st line of defense 2nd line of defense 3rd line of defense Uitvoeren Verantwoordelijk voor managen van risico s. Faciliteren Adviseren Monitoren Rapporteren Controleren Accountant Figuur 1: 3 lines of defense model. IBPDOC29, versie 0.1 Pagina 4 van 14

5 st line of defense De eerste verdedigingslinie betreft de operatie van uw organisatie. Dit zijn de werknemers die de dagelijkse operationele en ondersteunende processen binnen uw organisatie uitvoeren. Zij hebben dagelijks met potentiele risico s te maken en zijn dus ook als eerste verantwoordelijk voor het beheersen van de risico s die zich in de werkprocessen kunnen voordoen. Om de eerste lijn bewust te laten worden van deze verantwoordelijkheid speelt allereerst het overbrengen van basiskennis omtrent risicomanagement een rol. Vaak wordt dit gedaan middels training van werknemers door een expert. Met deze basiskennis leert de operatie anders (risicominded en afdelingsoverstijgend) tegen het dagelijks werkproces aan te kijken en wordt zodoende ook het risicobewustzijn van het personeel gestimuleerd. Vervolgens worden er periodiek risicoassessments uitgevoerd (in beginsel op de kernprocessen) door het personeel (eventueel gefaciliteerd door een risk manager) om de (key) risico s en beheersmaatregelen te identificeren en te beoordelen. Ook stelt de operatie Key Risico Indicatoren op die een voorspelling doen over het toekomstige risicoprofiel van uw organisatie. Een voorbeeld van een Key Risico Indicator binnen IT is het aantal prio 1 incidenten opgelost binnen de SLA. Als deze indicator maand op maand stijgt dan geeft dat een indicatie over de risico s en beheersing binnen het proces incident management. Door dit periodiek te doen krijgt uw organisatie goed inzicht in haar risicoprofiel. De operatie is dus primair voor het identificeren, beoordelen en managen van haar risico s In onderstaande tabel vindt u kort samengevat van de taken en verantwoordelijkheden van de eerste lijn: Taken en verantwoordelijkheden 1 ste lijn identificeert en beoordeelt periodiek de risico s en beheersmaatregelen. Voert beheersmaatregelen uit en legt evidence vast ter beoordeling door de risicomanager. Stelt Key Risk Indicators op en Uitvoeren van verbeteracties nd line of defense. De tweede verdedigingslinie is de risico management functie binnen de organisatie. Deze functie staat los van de eerste lijn en is (vaak) onafhankelijk ingericht. Dit wil zeggen dat de risico management functie vaak direct onder het CvB valt en dus niet is gekoppeld aan een operationeel directielid. De risico management functie faciliteert, monitort en adviseert de operatie bij de uitvoering van het risico management en controleproces en heeft primair een signalerende functie richting het CvB en operatie. Tevens rapporteert de risico management periodiek over het risicoprofiel van de organisatie aan de CvB en management. De risico manager is een persoon die niet alleen veel kennis heeft van risico management maar is vooral ook een persoon die veel kennis heeft van het bedrijf waarin hij opereert. Het heeft immers weinig zin om ergens over te adviseren of iets te monitoren wat je niet begrijpt. Bij grotere ondernemingen zien we dat risico managers vaak gespecialiseerd zijn op een bepaald gebied, bijvoorbeeld IT. In onderstaande tabel vindt u een kort samengevat de taken en verantwoordelijkheden van de tweede lijn. Taken en verantwoordelijkheden 2 de lijn Heeft kennis van de operationele en ondersteunende processen binnen het MBO. Faciliteert het risicomanagement proces. (Voorbeeld: faciliteren workshop risico identificatie en beoordeling). Monitort de status van risico s, beheersmaatregelen en verbeteracties. Reviewt opzet, bestaan en werking van individuele beheersmaatregelen. Adviseert de operatie inzake te nemen beheersmaatregelen, verbeteracties, etc. Rapporteert over het risicoprofiel van de organisatie, de werking van beheersmaatregelen en status van verbeteracties rd line of defense De derde verdedigingslinie betreft de interne audit functie binnen de organisatie. Deze functie is eveneens onafhankelijk ingericht en valt vaak direct onder het CvB en/of CvT. De interne audit functie heeft een controlerende rol richting operatie en risico manager. De primaire taak van de interne auditor is om te controleren of IBPDOC29, versie 0.1 Pagina 5 van 14

6 de organisatie haar operationele en ondersteunende processen beheerst uitvoert. Ook de uitvoering van het risicomanagement proces zelf wordt gecontroleerd door de interne auditor. Voor de interne auditor gelden dezelfde eisen als voor de risico manager. Naast dat hij veel kennis moeten hebben van audit-technieken dient hij veel kennis te hebben van het bedrijf waarin hij opereert. Het heeft immers weinig zin iets te controleren wat je niet begrijpt of waar je relatief weinig kennis van hebt. Ook hier zien we dat auditors bij grotere ondernemingen vaak gespecialiseerd zijn in een bepaald vakgebied, bijvoorbeeld IT. In onderstaande tabel vindt u een kort samengevat de taken en verantwoordelijkheden van de derde lijn. Taken en verantwoordelijkheden 3 de lijn Heeft kennis van de operationele en ondersteunende processen binnen het MBO. Heeft kennis van audit-technieken. Voert audits uit op de operationele en ondersteunende processen van de organisatie om vast te stellen dat deze processen beheerst worden uitgevoerd door de organisatie. Rapporteert bevindingen naar aanleiding van uitgevoerde audits aan de betreffende proceseigenaren Rapporteert over de algehele status van beheersing aan CvB en CvT. IBPDOC29, versie 0.1 Pagina 6 van 14

7 1.4 Advies bij inrichten governance Op basis van het risicomanagement beleid te kan gestart worden met de inrichting van de governance. Een advies is om te starten met de inrichting van de 1st line of defense. Dit is immers de belangrijkste verdedigingslinie. Er zijn daarbij 5 key inrichtingsstappen die van belang zijn: 1. Risicomanagement beleid is goedgekeurd door CvB en beschikbaar voor alle medewerkers; 2. De taken en verantwoordelijkheden inzake risicomanagement in de functieprofielen van de werknemers en maken onderdeel uit van de beoordelingscyclus; 3. Medewerkers worden getraind op basiskennis omtrent risicomanagement; 4. Vergroten risicobewustzijn door periodiek risico s, beheersmaatregelen en verbeteracties te identificeren en te beoordelen. Daarbij is het van belang breder te kijken naar je operatie en de dagelijkse processen / processtappen die je uitvoert (keten denken); 5. Communicatie over geconstateerde risico s en benodigde beheersing naar relevante stakeholders dient te worden gestimuleerd. Deze communicatie hoeft dus niet altijd tussen management te verlopen maar dient juist op de werkvloer te worden gestimuleerd. Daarbij hoort ook het aanspreken van je collega die eerder/later in het proces activiteiten uitvoert. Het is wel aan te raden om een project manager / eigenaar aan te wijzen die de verschillende inrichtingsstappen coördineert. Het onafhankelijk inrichten van de 2 e en 3 e lijns functies vindt vaak in een later stadium plaats. Vaak zien we dat de functie eerst binnen een afdeling wordt belegd (vaak bij teamleiders/managers of senior medewerkers) om later gecentraliseerd te worden in een onafhankelijke staffunctie. Indien de functie onafhankelijk wordt belegd dan is het van belang dat deze functies eerst het juiste mandaat krijgen van CvB en dat dit mandaat helder wordt gecommuniceerd naar de organisatie toe. Vervolgens dienen dan de risicomanagement en audit processen gedefinieerd te worden waarmee deze functies kunnen werken. IBPDOC29, versie 0.1 Pagina 7 van 14

8 2. Uitvoeren van de risico en controle cyclus. In dit hoofdstuk wordt een handleiding beschreven voor de uitvoering van het risico en controle cyclus. Het risicomanagement beleid vormt het uitgangspunt bij de uitvoering van de risico en controle cyclus. De cyclus bestaat uit verschillende fases, te weten: 1. Opstellen jaarplan (Plan); 2. Voorbereiden risico assessment (Plan); 3. Uitvoeren risico assessment (Do); 4. Vaststellen en uitvoeren van eventuele verbeteracties (Do); 5. Monitoren van risico s, beheersmaatregelen en verbeteracties (Check); 6. Rapporteren over status van risico s, beheersmaatregelen en verbeteracties en bijstellen (Act). De fases volgen de PDCA cyclus volgens het model van Demming. Door deze stappen in een cyclus uit voeren ontstaat de zogenaamde risico en controle cyclus. De hierboven genoemde stappen zullen in onderstaande paragrafen verder worden uitgewerkt. 2.1 Opstellen jaarplan Elk jaar stelt de risico manager in samenwerking met de proceseigenaren eerst het jaarplan voor risicomanagement op. In het jaarplan voor risico management worden de verschillende risico assessments, monitoring en rapportagemomenten vastgelegd voor dat jaar vastgelegd. Het jaarplan wordt geaccordeerd door het CvB en gecommuniceerd met alle stakeholders. 2.2 Voorbereiden risico assessment De voorbereiding van een risico assessment is een van de belangrijkste onderdelen van het risico assessment. Onder het voorbereiden van een risico assessment wordt verstaan: het vaststellen van de scope en doelstelling van het risico assessment, het plannen van een datum, het reserveren van een ruimte, het uitnodigen van de juiste personen, het juist, tijdig en volledig vaststellen en verspreiden van documentatie en het inhoudelijk voorbereiden van het assessment. Feitelijk is dit stap 1 bij de risico en controle cyclus uit de presentatie Risicomanagement inde praktijk welke gegeven tijdens de masterclasses. Doelstelling en scopebepaling: Elke proceseigenaar organiseert, in samenwerking met de risico manager, periodiek (meestal 1 keer per jaar) een risico assessment voor zijn/haar (IT) processen. Daarbij wordt eerst de doelstelling en scope van het risico assessment bepaald. De doelstelling gaat in op welke soort risico s en beheersmaatregelen er geïdentificeerd moeten worden. Voorbeeld: alleen IT risico s of ook andere risico soorten De scope gaat in op de reikwijdte van het risico assessment. Voorbeeld: Alleen proces risico s en key beheersmaatregelen of ook afdelingsrisico s en ondersteunende beheersmaatregelen. Plannen en uitnodigen: Advies is om niet meer dan 6 mensen uit te nodigen. Een te grote groep maakt het risico assessment minder efficiënt. Hou bij het plannen van een datum en tijd rekening dat een goede risico assessment 3 a 4 uur duurt. Voor een risico assessment worden minimaal de volgende personen uitgenodigd: Risico manager (heeft alleen een faciliterende / challengende rol) Proceseigenaar; Key specialisten van het proces (dit kan dus afdeling overstijgend zijn); IBPDOC29, versie 0.1 Pagina 8 van 14

9 Vaststellen en verspreiden documentatie: Naast het plannen van de datum en tijd is het van het grootste belang de juiste documentatie wordt opgesteld en verstuurd naar de deelnemers. Deze documentatie bestaat uit: beschrijving van doelstelling en scope van het risico assessment, het actuele risico management beleid, de actuele procesbeschrijving, een register met risico s en beheersmaatregelen van het vorige risico assessment, register met aan het proces gerelateerde incidenten, register met openstaande verbeteracties die invloed hebben op de beheersing van relevante risico s. Inhoudelijk voorbereiden: Met het inhoudelijk doornemen van de documentatie is elke deelnemer voldoende voorbereid voor het komende risico assessment. Het inhoudelijk voorbereiden houdt in het doornemen van de documentatie, het beschrijven van mogelijke risicogebeurtenissen en mogelijke beheersmaatregelen. Door deze voorbereiding komt de deelnemer goed beslagen ten ijs en kan tijdens het assessment een efficiënte en effectieve discussie gevoerd worden. 2.3 Uitvoeren risico assessment De uitvoering van het risico assessment zelf volgt de stappen 2 tot en met 6 bij de risico en controle cyclus zoals besproken in de presentatie risicomanagement in de praktijk vanuit de masterclass. Doelstelling bij de uitvoering van het risico assessment is het achterhalen en beoordelen van de relevante risico s, controledoelstellingen en beheersmaatregelen volgens de vastgestelde scope en doelstelling van het risico assessment. Bij de uitvoering van het risico assessment zelf zijn een aantal factoren van belang voor succes, te weten: Iedere deelnemer gaat voorbereid het risico assessment in; Iedereen respecteert elkaars mening, elke stem weegt even zwaar; De facilitator (risico-manager) heeft geen stemrecht maar faciliteert alleen. Voor het vaststellen van de IT risico s hanteren we de volgende risico categorieën: 1. Beleid en personeel; 1.1. Informatiebeveiliging; 1.2. Privacy; 2. Toegang tot applicaties en data; 3. IT infrastructuur en externe verbindingen; 4. Examinering. Deze categorieën staan vast en zullen door de gehele MBO sector gebruikt gaan worden. Bij het vaststellen van de risico s en beheersmaatregelen is het dus zaak deze categorieën te gebruiken. Voorbeeld: Bij het proces access management zullen de geïdentificeerde risico s hoofdzakelijk in de 2 e en 3 e categorie vallen. Ter verdere ondersteuning bij het uitvoeren van het risico assessment raden wij aan om het beoordelingskader IT risico s MBO sector (Zie bijlage 1 voor een voorbeeld) te gebruiken. Deze wordt samen met deze handleiding meegeleverd in een Excel sheet. Door gebruik te maken van dit beoordelingskader kunnen MBO s op gestructureerde wijze hun IT risico s, controledoelstellingen en onderliggende beheersmaatregelen en verbeteracties definiëren. 2.4 Vaststellen en uitvoeren van eventuele verbeteracties Indien bij stap 6 uit de risico en controle cyclus vanuit de presentatie wordt vastgesteld dat het restrisico verder gemitigeerd moet worden omdat anders de controledoelstelling niet gehaald kan worden dan dienen hiervoor verbeteracties te worden gedefinieerd. Bij de vaststellen van de verbeteracties moeten aan een aantal voorwaarden voldoen: Elke verbeteractie heeft een eigenaar; Verbeteracties zijn SMART gedefinieerd; Elke actie heeft een duidelijk eindresultaat; Elke actie heeft een due date; IBPDOC29, versie 0.1 Pagina 9 van 14

10 De actie draagt actief bij aan het verkleinen van de kans en/of impact van het risico. De verbeteracties worden altijd in samenspraak met de verantwoordelijke manager opgesteld. Verbeteracties kunnen ook komen vanuit het monitoren van risico s en beheersmaatregelen (zie volgende paragraaf). 2.5 Monitoren van risico s, beheersmaatregelen en verbeteracties De monitoring van risico s, beheersmaatregelen en verbeteracties volgt stap 7 bij risico en controle cyclus zoals besproken in de presentatie risicomanagement in de praktijk vanuit de masterclass. Hieronder wordt per onderdeel ingegaan op monitoring. Monitoren van risico s Na het uitvoeren van het risico assessment is het zaak dat de 1 e lijn haar risico s monitort. Er zijn namelijk verschillende variabelen die van invloed kunnen zijn op het risicoprofiel van de organisatie. Denk bijvoorbeeld aan veranderende marktomstandigheden of nieuwe wet en regelgeving waardoor nieuwe risico s relevant worden en bestaande risico s wellicht niet meer relevant zijn. Maar ook manifestatie van bedrijfsincidenten kunnen bijdragen aan een ander risicobeeld. Bij monitoring is het dus zaak deze variabelen te identificeren en om te zetten in Key Risk Indicator. Twee voorbeelden van een KRI s: Het aantal prioriteit 1 IT-incidenten per maand. Het aantal prioriteit 1 IT-incidenten niet opgelost binnen de SLA. Als we deze KRI s monitoren en de aantallen maand op maand zien toenemen dan dient de kans en impact van het bijbehorende risico Het risico dat prio 1 IT incidenten niet tijdig worden opgelost als gevolg van onvoldoende resources waardoor business verstoringen plaatsvinden te worden opgeschaald. Monitoring brengt daarbij dus het inzicht om tot tijdige verbeteracties en additioneel beheersing te komen. Monitoren/testen van beheersmaatregelen De opgestelde beheersmaatregelen worden uitgevoerd door de 1 e lijn. Om opzet, bestaan en werking van de beheersmaatregelen te kunnen monitoren dient de 1 e lijn evidence vast te leggen van uitvoering van deze beheersmaatregelen. De 2 e lijn zal dan op basis van de gestelde controledoelstellingen en deze evidence een steekproef doen om te monitoren of opzet, bestaan en werking van de beheersmaatregelen is gewaarborgd. Indien er hiaten zijn geconstateerd door de 2 e lijn zullen deze moeten worden besproken met de verantwoordelijke manager/proces eigenaar en zullen er verbeteracties worden gedefinieerd (zie vorige paragraaf). Monitoren voorgang verbeteracties Ook de status van verbeteracties zelf moeten gemonitord worden ter bevordering van de risicobeheersing. De verantwoordelijke manager monitort vanuit zijn/haar 1 e lijns verantwoordelijkheid de voortgang van de verbeteracties. Dit doet hij/zij op basis van de lijst met verbeteracties en het opvragen van de status bij de verantwoordelijke uitvoerders. De risico manager zal vanuit zijn 2 e lijns verantwoordelijkheid de status monitoren en bij onvoldoende voortgang eerst in gesprek gaan met de verantwoordelijke lijnmanager om de oorzaak te achterhalen. Indien nodig kan de risico manager escaleren naar CvB. 2.6 Rapporteren over status van risico s, beheersmaatregelen en verbeteracties en bijsturen. De risico manager rapporteert, in samenwerking met de 1 e lijn, periodiek (Advies = minimaal 1 keer per kwartaal) aan het CvB en management over de status van risico s, controledoelstellingen en onderliggende beheersmaatregelen en verbeteracties. De vorm van de rapportage zal hoofdzakelijk een dashboard zijn waarbij op organisatieonderdeel en/of risicocategorie wordt gerapporteerd over de status van risico s, controledoelstellingen en onderliggende beheersmaatregelen en verbeteracties. IBPDOC29, versie 0.1 Pagina 10 van 14

11 De rapportage moet worden voorzien van commentaar door de 1 e lijn en de risico manager. Het commentaar van de 1 e lijn focust zich op de toelichting op de verschillende statussen. Het commentaar van de risicomanager focust zich op het geven van advies bij de verschillende statussen. Op basis van de rapportage kan het management of CvB besluiten bij te sturen door bijvoorbeeld meer resources beschikbaar te maken, activiteiten te outsourcen, etc. IBPDOC29, versie 0.1 Pagina 11 van 14

12 3. Tot slot. Het effectief inrichten van risico en controle cyclus in een organisatie is niet een kwestie van een maand werk en klaar. Het is een proces wat langzaam opgebouwd dient te worden en effectiever en efficiënter wordt naarmate het risicobewustzijn en de beheersing van de organisatie stijgt. IBPDOC29, versie 0.1 Pagina 12 van 14

13 Governance Bedreiging Beleid & Org Organisatie Bedreiging Beleid & Org Calamiteit Bedreiging Continuïteit Organisatie Bedreiging Continuïteit Organisatie Bedreiging Continuïteit Calamiteit Bedreiging Ruimten en apparatuur Organisatie Bedreiging Bedreiging Toegang & Integriteit Organisatie Toegang & Integriteit Organisatie Bedreiging Beleid & Org Status Risicogebied Bedreiging of kans? Cluster Toetsingskader Handleiding Risico management Risico Matrix Informatiebeveiliging Risico Identificatie Bruto Risico Controledoelstelling Monitoring & Control Netto Risico Restrisico Benodigde verbeteractie # Risico Oorzaak Gevolg Risico Matrix Soort Doelstelling Wie Wat Waarmee Hoe Hoe vaak (Cyclische Wanneer) Wat Als Risico Matrix Restrisico Wie: Wat: Verwacht eindresultaat: Wanneer klaar: 1 Het risico dat data onrechtmatig wordt opgeslagen en onvoldoende bescherming van persoonsgegevens. Onvoldoende scheiding van rechten over groepen van personen. Niet nakomen van privacywetgeving. M Er zijn voldoende maatregelen M L X genomen om de scheiding van Preventief L X L M H rechten over groepen van L M H personen mogelijk te maken. 2 Het risico op fraude of onrechtmatige invoer in Magister. Onvoldoende controles en functiescheiding. Identiteitsfraude, reputatieschade L X 3 Het risico op fraude bij Onjuiste beoordeling van invoer/mutatie van cijfers Laptop van docent niet gelockt. deelnemers, reputatieschade in Magister. L X 4 Het risico op uitval van het bedrijfsnetwerk. Onvoldoende brandbeveiliging van serverruimte. Geen beschikbaarheid, geen les door noodzakelijke evacuatie L X 5 Het risico dat informatiebeveiligingsgeb eurtenissen niet worden beoordeeld en/of over ze wordt besloten Het ontbreken van een classificatiesysteem voor incidenten Schade die veel hoger kan uitvallen dan vooraf geanticipeerd L X 6 Het risico dat er niet adequaat op beveiligingsincidenten gereageerd wordt Het ontbreken van een responsteam Imagoschade, financiële schade, data verlies L X 7 Het risico dat tijdens een ongunstige situaties geen informatiebeveiligingspro cedure is ingesteld Het ontbreken van een continuïteitsplan Dataverlies, financiële schade (hardware stuk), studenten en medewerkers die niet bij hun gegevens kunnen L X 8 Het risico dat er niet adequaat op beveiligingsincidenten gereageerd wordt Het ontbreken van informatiebeveiligingsbeleid Imagoschade, financiële schade, data verlies L X 9 Het risico dat vertrouwelijke informatie wordt gedeeld door medewerkers Het ontbreken van een classificatiesysteem voor informatie Imagoschade, financiële schade, data verlies L X IBPDOC29, versie 0.1 Pagina 13 van 14

14 MBO referentie architectuur (IBPDOC4) Privacy Compliance kader MBO (IBPDOC2B) Normenkader Informatiebeveiliging MBO (IBPDOC2A) Handleiding Risico management Bijlage 1: Framework MBO Verantwoordingsdocument informatiebeveiliging en privacy in het MBO onderwijs (IBPDOC1) MBO roadmap informatie beveiligingsbeleid en privacy beleid (IBPDOC5) Model Informatiebeveiligingsbeleid voor de MBO sector op basis van ISO27001 en ISO27002 (IBPDOC 6) Toetsingskader IB: clusters 1 t/m 6 (IBPDOC3) Model beleid verwerking persoonsgegevens op basis van Nederlandse wet- en regelgeving (IBPDOC18) Toetsingskader Privacy: cluster 7 (IBPDOC7) Toetsingskader Examinering Pluscluster 8 IBPDOC8 Toetsingskader Online leren Pluscluster 9 IBPDOC9 Toetsingskader VMBO-MBO Pluscluster 10 IBPDOC10 Handleiding Benchmark Coable IBPDOC11 Competenties Informatiebev. en Privacy IBPDOC12 Positionering Informatiebev. en Privacy IBPDOC13 Handleiding Risico management IBPDOC29 Handleiding BIV classificatie IBPDOC14 BIV classificatie Bekostiging IBPDOC15 BIV classificatie HRM IBPDOC16 BIV classificatie Online leren IBPDOC17 PIA Deelnemers informatie IBPDOC19 PIA Personeel Informatie IBPDOC20 PIA Digitaal Leren IBPDOC21 Starterkit Identity mngt MBO versie IBPDOC22 Starterkit BCM MBO versie IBPDOC23 Starterkit RBAC MBO versie IBPDOC24 Integriteit Code MBO versie IBPDOC25 Leidraad AUP s MBO versie IBPDOC26 Responsible Disclosure MBO versie IBPDOC27 Cloud computing MBO versie IBPDOC28 Implementatievoorbeelden van kleine en grote instellingen Technische quick scan (APK) IBPDOC30 Hoe? Zo! Informatiebeveiligingsbeleid in het MBO en Hoe? Zo! Privacy in het MBO Kaderdocumenten Taskforce IBP realisatie 2015 Taskforce IBP planning 2016 Taskforce IBP SURFibo SURFaudit IBPDOC29, versie 0.1 Pagina 14 van 14

Taskforce Informatiebeveiliging en Privacy (IBP) Een roadmap op basis van best practices in de MBO sector.

Taskforce Informatiebeveiliging en Privacy (IBP) Een roadmap op basis van best practices in de MBO sector. Taskforce Informatiebeveiliging en Privacy (IBP) Een roadmap op basis van best practices in de MBO sector. Doel Aanbieden handreikingen, op basis van best practices uit het Hoger Onderwijs en MBO sector,

Nadere informatie

Voortgang Informatiebeveiliging en Privacy (IBP) in de MBO sector. sambo-ict conferentie, 2 oktober 2015

Voortgang Informatiebeveiliging en Privacy (IBP) in de MBO sector. sambo-ict conferentie, 2 oktober 2015 Voortgang Informatiebeveiliging en Privacy (IBP) in de MBO sector sambo-ict conferentie, 2 oktober 2015 Overzicht presentatie 1. Terugblik (Ludo) 2. IBP conferentie en masterclasses (Ludo) 3. IBP Benchmark

Nadere informatie

Handleiding Risico management

Handleiding Risico management Handleiding Risico management IBPDOC29 Verantwoording Opdrachtgever Kennisnet / sambo-ict Dit document is geschreven voor IT managers, IT security officers, Information officers binnen de MBO sector. Dit

Nadere informatie

Verantwoordingsdocument programma Informatiebeveiliging en Privacy (IBP) in het mbo

Verantwoordingsdocument programma Informatiebeveiliging en Privacy (IBP) in het mbo Verantwoordingsdocument programma Informatiebeveiliging en Privacy (IBP) in het mbo IBPDOC1 Inhoudsopgave Verantwoordingsdocument Informatiebeveiliging en privacy (IBP) in het mbo 1. Inleiding... 3 1.1

Nadere informatie

Positionering informatiebeveiliging en privacy (enquête)

Positionering informatiebeveiliging en privacy (enquête) Positionering informatiebeveiliging en privacy (enquête) IBPDOC13 Verantwoording Met dank aan: Deelnemers enquête uit de mbo sector. Willem Karssenberg (sambo-ict) voor het ontwerpen en beheren van de

Nadere informatie

Taskforce Informatiebeveiligingsbeleid.

Taskforce Informatiebeveiligingsbeleid. Taskforce Informatiebeveiligingsbeleid. Cursus 1 2015-2016 plus overnachting Aanleiding: Om het deskundigheidsniveau van instellingen te vergroten, zal een masterclass Privacy georganiseerd worden. Deze

Nadere informatie

DOORSTAAT UW RISICOMANAGEMENT DE APK?

DOORSTAAT UW RISICOMANAGEMENT DE APK? WHITEPAPER DOORSTAAT UW RISICOMANAGEMENT DE APK? DOOR M. HOOGERWERF, SENIOR BUSINESS CONS ULTANT Risicomanagement is tegenwoordig een belangrijk onderdeel van uw bedrijfsvoering. Dagelijks wordt er aandacht

Nadere informatie

Informatiebeveiliging en privacy. Remco de Boer Ludo Cuijpers

Informatiebeveiliging en privacy. Remco de Boer Ludo Cuijpers Informatiebeveiliging en privacy Remco de Boer Ludo Cuijpers Voorstellen Remco de Boer Informatiearchitect Kennisnet (programma SION) Ludo Cuijpers MSc, MIM Expert informatiebeveiliging en privacy Werkzaam

Nadere informatie

Competenties Informatiebeveiliging en Privacy

Competenties Informatiebeveiliging en Privacy Competenties Informatiebeveiliging en Privacy IBPDOC12 Verantwoording Auteurs Leo Bakker (Kennisnet) Mireille Boonstra-Kints (Kints Fuwa Advies) Ludo Cuijpers (sambo-ict, Kennisnet en ROC Leeuwenborgh)

Nadere informatie

Competenties Informatiebeveiliging en Privacy

Competenties Informatiebeveiliging en Privacy Competenties Informatiebeveiliging en Privacy IBPDOC12 Verantwoording Auteurs Leo Bakker (Kennisnet) Mireille Boonstra-Kints (Kints Fuwa Advies) Ludo Cuijpers (sambo-ict, Kennisnet en ROC Leeuwenborgh)

Nadere informatie

Risk & Compliance Charter Clavis Family Office B.V.

Risk & Compliance Charter Clavis Family Office B.V. Risk & Compliance Charter Clavis Family Office B.V. Datum: 15 april 2013 Versie 1.0 1. Inleiding Het Risk & Compliance Charter (charter) bevat de uitgeschreven principes, doelstellingen en bevoegdheden

Nadere informatie

OPERATIONEEL RISKMANAGEMENT. Groningen, maart 2016 Wim Pauw

OPERATIONEEL RISKMANAGEMENT. Groningen, maart 2016 Wim Pauw OPERATIONEEL RISKMANAGEMENT Groningen, maart 2016 Wim Pauw Risicomanagement Risicomanagement is steeds meer een actueel thema voor financiële beleidsbepalers, maar zij worstelen vaak met de bijbehorende

Nadere informatie

Informatiebeveiliging: Hoe voorkomen we issues?

Informatiebeveiliging: Hoe voorkomen we issues? Informatiebeveiliging: Hoe voorkomen we issues? Workshop C Remco de Boer (Kennisnet) Ludo Cuijpers (MBO Taskforce IBB) Inhoud 1. Voorstelronde 2. Over uw rol 3. Maatregelen 4. De diepte in Voorstelronde

Nadere informatie

Seminar! BETEKENIS VAN INTERNE AUDIT voor specifieke verzekeraars! Internal Audit en doeltreffendheid van! risk management system!

Seminar! BETEKENIS VAN INTERNE AUDIT voor specifieke verzekeraars! Internal Audit en doeltreffendheid van! risk management system! Seminar! BETEKENIS VAN INTERNE AUDIT voor specifieke verzekeraars! Internal Audit en doeltreffendheid van! risk management system!! Tom Veerman! Triple A Risk Finance B.V.! 1! Programma! Solvency II stand

Nadere informatie

Energie Management Programma. InTraffic

Energie Management Programma. InTraffic Energie Management Programma InTraffic Wijzigingsblad Versie Datum Auteur Wijzigingen 0.1 17/2/2012 Marije de Vreeze Opzet structuur 0.2 13/3/2012 Marije de Vreeze Gegevens 0.3 5/4/2012 Dirk Bijkerk Input

Nadere informatie

Informatiebeveiliging als proces

Informatiebeveiliging als proces Factsheet Informatiebeveiliging als proces Informatiebeveiliging onder controle krijgen en houden FORTIVISION Stadionstraat 1a 4815 NC Breda +31 (0) 88 160 1780 www.db-fortivision.nl info@db-fortivision.nl

Nadere informatie

Compliance Charter. a.s.r

Compliance Charter. a.s.r Compliance Charter a.s.r Status: definitief Versie: 4.0 Datum opgesteld: 19 september 2013 Goedgekeurd door: Raad van Bestuur op 29 november 2013 Goedgekeurd door: Audit & Risicocommissie op 9 december

Nadere informatie

MBO roadmap informatiebeveiligingsbeleid. privacy beleid

MBO roadmap informatiebeveiligingsbeleid. privacy beleid ; MBO roadmap informatiebeveiligingsbeleid en privacy beleid IBPDOC5 IBPDOC5, versie 1.1 Pagina 2 van 30 Verantwoording Bron: Informatiebeveiliging Stichting SURF Februari 2015 SURFibo Het SURF Informatie

Nadere informatie

WWW.CAGROUP.NL COMPLIANCE RADAR HET MEEST COMPLETE BESTURINGSSYSTEEM VOOR GEMEENTEN.

WWW.CAGROUP.NL COMPLIANCE RADAR HET MEEST COMPLETE BESTURINGSSYSTEEM VOOR GEMEENTEN. WWW.CAGROUP.NL COMPLIANCE RADAR HET MEEST COMPLETE BESTURINGSSYSTEEM VOOR GEMEENTEN. COMPLIANCE RADAR De Compliance Radar helpt gemeenten een brug te slaan tussen beleidsdoelstellingen en uitvoering. Door

Nadere informatie

Strategisch Risicomanagement

Strategisch Risicomanagement Commitment without understanding is a liability Strategisch Risicomanagement Auteur Drs. Carla van der Weerdt RA Accent Organisatie Advies Effectief en efficiënt risicomanagement op bestuursniveau Risicomanagement

Nadere informatie

Informatiebeveiligingsbeleid

Informatiebeveiligingsbeleid Unit : Bedrijfsvoering Auteur : Annemarie Arnaud de Calavon : : Datum : 17-11-2008 vastgesteld door het CvB Bestandsnaam : 20081005 - Informatiebeveiliging beleid v Inhoudsopgave 1 INLEIDING... 3 1.1 AANLEIDING...

Nadere informatie

Dynamisch risicomanagement eenvoudig met behulp van GRCcontrol

Dynamisch risicomanagement eenvoudig met behulp van GRCcontrol Dynamisch risicomanagement eenvoudig met behulp van GRCcontrol Mike de Bruijn roduct Owner Agenda Inleiding Over CompLions GRCcontrol management software Risicomanagement Uitdagingen Dynamisch risicomanagement

Nadere informatie

Model Informatiebeveiligingsbeleid. voor de MBO sector op basis van ISO27001 en ISO27002 IBPDOC6

Model Informatiebeveiligingsbeleid. voor de MBO sector op basis van ISO27001 en ISO27002 IBPDOC6 Model Informatiebeveiligingsbeleid voor de MBO sector op basis van ISO27001 en ISO27002 IBPDOC6 Verantwoording Bron: Starterkit Informatiebeveiliging Stichting SURF Februari 2015 SURFibo Het SURF Informatie

Nadere informatie

VOORWOORD. 1 Code voor informatiebeveiliging, Nederlands Normalisatie Instituut, Delft, 2007 : NEN-ISO.IEC 27002.

VOORWOORD. 1 Code voor informatiebeveiliging, Nederlands Normalisatie Instituut, Delft, 2007 : NEN-ISO.IEC 27002. Gesloten openheid Beleid informatiebeveiliging gemeente Leeuwarden 2014-2015 VOORWOORD In januari 2003 is het eerste informatiebeveiligingsbeleid vastgesteld voor de gemeente Leeuwarden in de nota Gesloten

Nadere informatie

Concept NBA-handreiking Publicatie kwaliteitsfactoren 17 april 2015

Concept NBA-handreiking Publicatie kwaliteitsfactoren 17 april 2015 Dit document maakt gebruik van bladwijzers. Concept NBA-handreiking 17 april 2015 Consultatieperiode loopt tot 29 mei 2015 Concept NBA-handreiking NBA-handreiking Van toepassing op: xx Onderwerp xx Datum:

Nadere informatie

Cloud computing Helena Verhagen & Gert-Jan Kroese

Cloud computing Helena Verhagen & Gert-Jan Kroese Cloud computing Helena Verhagen & Gert-Jan Kroese Privacy Better business through better privacy Juridisch kader cloud computing Meldplicht datalekken Tips & Tricks Vragen? 2 Privacy https://www.youtube.com/watch?v=xyzthipktqg

Nadere informatie

Digital Independence. Plan Today to be ready for Tomorrow. Grip op uw continuïteit! Information Security and Continuity Services

Digital Independence. Plan Today to be ready for Tomorrow. Grip op uw continuïteit! Information Security and Continuity Services Digital Independence Grip op uw continuïteit! Plan Today to be ready for Tomorrow Information Security and Continuity Services Digital Independence Grip op uw continuïteit! Weet u welke risico s uw bedrijf

Nadere informatie

Introductie OHSAS 18001

Introductie OHSAS 18001 Introductie OHSAS 18001 OHSAS 18001 -in het kort OHSAS 18001 is een norm voor een managementsysteem die de veiligheid en gezondheid in en rondom de organisatie waarborgt. OHSAS staat voor Occupational

Nadere informatie

Aan welke eisen moet het beveiligingsplan voldoen?

Aan welke eisen moet het beveiligingsplan voldoen? Vragen en antwoorden n.a.v. brief aan colleges van B&W en gemeenteraden over verplichtingen Wet Bescherming Persoonsgegevens (WBP), de Wet SUWI en de Wet Eenmalige Gegevensuitvraag. Aan welke eisen moet

Nadere informatie

Actieplan Informatiebeveiligingsbeleid mbo

Actieplan Informatiebeveiligingsbeleid mbo Actieplan Informatiebeveiligingsbeleid mbo V.1.0, 14-05-2014 Opdrachtgever: sambo-ict Inhoudsopgave 1. Inleiding... 3 2. Doelstelling... 4 2.1. Waarom informatiebeveiligingsbeleid... 4 2.2. Doelstellingen...

Nadere informatie

Actieplan naar aanleiding van BDO-onderzoek. Raad van Commissarissen GVB Holding N.V. Woensdag 13 juni 2012

Actieplan naar aanleiding van BDO-onderzoek. Raad van Commissarissen GVB Holding N.V. Woensdag 13 juni 2012 Actieplan naar aanleiding van BDO-onderzoek Raad van Commissarissen GVB Holding N.V. Woensdag 13 juni 2012 Inhoudsopgave - Actieplan GVB Raad van Commissarissen GVB Holding N.V. n.a.v. BDO-rapportage 13

Nadere informatie

RiskTransparant, deel 2. De waarde van een ISAE rapport? welke waarde heeft een ISAE voor het bestuur: in control of een illusie van control

RiskTransparant, deel 2. De waarde van een ISAE rapport? welke waarde heeft een ISAE voor het bestuur: in control of een illusie van control RiskTransparant, deel 2 De waarde van een ISAE rapport? welke waarde heeft een ISAE voor het bestuur: in control of een illusie van control In deze tweede serie uit een reeks van zeven delen, delen wij

Nadere informatie

Energiemanagement Actieplan

Energiemanagement Actieplan 1 van 8 Energiemanagement Actieplan Datum 18 04 2013 Rapportnr Opgesteld door Gedistribueerd aan A. van de Wetering & H. Buuts 1x Directie 1x KAM Coördinator 1x Handboek CO₂ Prestatieladder 1 2 van 8 INHOUDSOPGAVE

Nadere informatie

Informatiebeveiligingsbeleid 2015-2018

Informatiebeveiligingsbeleid 2015-2018 Inleiding Dit document geeft de beleidsuitgangspunten voor de Gemeente Hilversum weer als het gaat om informatiebeveiliging/ informatieveiligheid. In dit document worden de (wettelijke en landelijke) normen

Nadere informatie

Informatiebeveiliging, noodzakelijk kwaad of nuttig? www.dnvba.nl/informatiebeveiliging. DNV Business Assurance. All rights reserved.

Informatiebeveiliging, noodzakelijk kwaad of nuttig? www.dnvba.nl/informatiebeveiliging. DNV Business Assurance. All rights reserved. 1 Informatiebeveiliging, noodzakelijk kwaad of nuttig? Mike W. Wetters, Lead Auditor DNV Albertho Bolenius, Security Officer GGzE Informatiebeveiliging. Noodzakelijk kwaad of nuttig? 3 Wat is informatiebeveiliging?

Nadere informatie

Handleiding uitvoering ICT-beveiligingsassessment

Handleiding uitvoering ICT-beveiligingsassessment Handleiding uitvoering ICT-beveiligingsassessment Versie 2.1 Datum : 1 januari 2013 Status : Definitief Colofon Projectnaam : DigiD Versienummer : 2.0 Contactpersoon : Servicecentrum Logius Postbus 96810

Nadere informatie

Doen of laten? Een dag zonder risico s is een dag niet geleefd

Doen of laten? Een dag zonder risico s is een dag niet geleefd Doen of laten? Een dag zonder risico s is een dag niet geleefd Wie, wat en hoe Eric Lopes Cardozo & Rik Jan van Hulst sturen naar succes Doel Delen van inzichten voor praktisch operationeel risico management

Nadere informatie

Aantoonbaar in control op informatiebeveiliging

Aantoonbaar in control op informatiebeveiliging Aantoonbaar in control op informatiebeveiliging Agenda 1. Introductie key2control 2. Integrale interne beheersing 3. Informatiebeveiliging 4. Baseline Informatiebeveiliging Gemeenten 5. Demonstratie ISMS

Nadere informatie

Beveiligingsbeleid Stichting Kennisnet

Beveiligingsbeleid Stichting Kennisnet Beveiligingsbeleid Stichting Kennisnet AAN VAN Jerry van de Leur (Security Officer) DATUM ONDERWERP Disclaimer: Kennisnet geeft geen enkele garantie, met betrekking tot de geschiktheid voor een specifiek

Nadere informatie

Aanscherping WBP. Meldplicht datalekken. Mr S.H. Katus, CIPM Partner. sergej.katus@pmpartners.nl www.pmpartners.nl

Aanscherping WBP. Meldplicht datalekken. Mr S.H. Katus, CIPM Partner. sergej.katus@pmpartners.nl www.pmpartners.nl Aanscherping WBP Meldplicht datalekken Mr S.H. Katus, CIPM Partner sergej.katus@pmpartners.nl www.pmpartners.nl PMP in het kort Privacy Management Partners Het eerste DPO-bureau van Nederland Data Protection

Nadere informatie

Lloyd s Register, LRQA België & Nederland Gent, 23 april 2014

Lloyd s Register, LRQA België & Nederland Gent, 23 april 2014 Lloyd s Register, LRQA België & Nederland Gent, 23 april 2014 Kris Winters Marcel de Bruijn Jürgen van Dueren den Hollander Maurits Dekker Improving performance, reducing risk Wie is Lloyd s Register,

Nadere informatie

Cloud Computing, een inleiding. ICT Accountancy & Financials congres 2013: Cloud computing en efactureren. Jan Pasmooij RA RE RO: jan@pasmooijce.

Cloud Computing, een inleiding. ICT Accountancy & Financials congres 2013: Cloud computing en efactureren. Jan Pasmooij RA RE RO: jan@pasmooijce. Cloud Computing, een inleiding ICT Accountancy & Financials congres 2013: Cloud computing en efactureren 10 december 2013 Jan Pasmooij RA RE RO: jan@pasmooijce.com 10 december 2013 1 Kenmerken van Cloud

Nadere informatie

WHITE PAPER. Informatiebeveiliging

WHITE PAPER. Informatiebeveiliging WHITE PAPER Informatiebeveiliging Door een goede, geïntegreerde inrichting van de informatiebeveiliging wordt een onderneming geholpen op een flexibele, kostenbewuste manier klanten beter te bedienen.

Nadere informatie

NORA werkdocument. Katern Beveiliging. In 3 klikken naar bouwstenen voor invulling van de eisen. Sessie 6. Bijgewerkt op 23 aug.

NORA werkdocument. Katern Beveiliging. In 3 klikken naar bouwstenen voor invulling van de eisen. Sessie 6. Bijgewerkt op 23 aug. NORA werkdocument Sessie 6 In 3 klikken naar bouwstenen voor invulling van de eisen Katern Beveiliging Bijgewerkt op 23 aug. 2013 katern Beveiliging Jaap van der Veen Essentie Sessie 6 1. Opzet digitaal

Nadere informatie

Risicomanagement en NARIS gemeente Amsterdam

Risicomanagement en NARIS gemeente Amsterdam Risicomanagement en NARIS gemeente Amsterdam Robert t Hart / Geert Haisma 26 september 2013 r.hart@risicomanagement.nl / haisma@risicomanagement.nl 1www.risicomanagement.nl Visie risicomanagement Gemeenten

Nadere informatie

Normenkader Informatiebeveiliging MBO

Normenkader Informatiebeveiliging MBO Normenkader Informatiebeveiliging MBO IBPDOC2A Verantwoording Bron: Normenkader Informatiebeveiliging HO 2015 Gebaseerd op ISO 27002:2013 Stichting SURF April 2015 Met dank aan: Maturity Werkgroep SURFibo:

Nadere informatie

1. FORMAT PLAN VAN AANPAK

1. FORMAT PLAN VAN AANPAK INHOUDSOPGAVE 1. FORMAT PLAN VAN AANPAK 1.1. Op weg naar een kwaliteitsmanagementsysteem 1.2. Besluit tot realisatie van een kwaliteitsmanagementsysteem (KMS) 1.3. Vaststellen van meerjarenbeleid en SMART

Nadere informatie

Remuneratierapport 2014 Loyalis N.V.

Remuneratierapport 2014 Loyalis N.V. Remuneratierapport 2014 Loyalis N.V. Voorwoord Dit remuneratierapport geeft inzicht in de belangrijkste ontwikkelingen in het beloningsbeleid van Loyalis N.V. over het jaar 2014. Met dit rapport wil Loyalis

Nadere informatie

Integrated Audit in het Erasmus MC

Integrated Audit in het Erasmus MC Integrated Audit in het Erasmus MC NFU Symposium Mind the gap! Effectieve inzet van interne audits 29 mei 215 Freek Wegerif Sector Audit Succesfactoren Uitdagingen 2 Integrated audit - uitvoering EXPERTS

Nadere informatie

Seminar Trends in Business & IT bij woningcorporaties. Informatiebeveiliging

Seminar Trends in Business & IT bij woningcorporaties. Informatiebeveiliging Seminar Trends in Business & IT bij woningcorporaties Informatiebeveiliging Agenda Rondje verwachtingen Even voorstellen.. Informatiebeveiliging waarom? Stand van zaken bij corporaties Informatiebeveiliging

Nadere informatie

Een OVER-gemeentelijke samenwerking tussen Oostzaan en Wormerland

Een OVER-gemeentelijke samenwerking tussen Oostzaan en Wormerland OVER OOSTZAAN Een OVER-gemeentelijke samenwerking tussen Oostzaan en Wormerland WORMERLAND. GESCAND OP 13 SEP. 2013 Gemeente Oostzaan Datum : Aan: Raadsleden gemeente Oostzaan Uw BSN : - Uw brief van :

Nadere informatie

Generieke systeemeisen

Generieke systeemeisen Bijlage Generieke Systeem in kader van LAT-RB, versie 27 maart 2012 Generieke systeem NTA 8620 BRZO (VBS elementen) Arbowet Bevb / NTA 8000 OHSAS 18001 ISO 14001 Compliance competence checklist 1. Algemene

Nadere informatie

2014 KPMG Advisory N.V

2014 KPMG Advisory N.V 02 Uitbesteding & assurance 23 Overwegingen bij uitbesteding back- en mid-office processen van vermogensbeheer Auteurs: Alex Brouwer en Mark van Duren Is het zinvol voor pensioenfondsen en fiduciair managers

Nadere informatie

BARRIER DENKEN, BARRIER DOEN! PRAGMATISCH EN PROAC TIEVE RISICOANALYSE DOOR MARTIN HOOGERWERF, SENIOR BUSINESS CONSULTANT

BARRIER DENKEN, BARRIER DOEN! PRAGMATISCH EN PROAC TIEVE RISICOANALYSE DOOR MARTIN HOOGERWERF, SENIOR BUSINESS CONSULTANT WHITEPAPER BARRIER DENKEN, BARRIER DOEN! PRAGMATISCH EN PROAC TIEVE RISICOANALYSE DOOR MARTIN HOOGERWERF, SENIOR BUSINESS CONSULTANT RISICOMANAGEMENT IN BALANS Ondernemen betekent risico s nemen om de

Nadere informatie

Integraal risicomanagement

Integraal risicomanagement Samenvatting Integraal risicomanagement in 40 Nederlandse ziekenhuizen Inhoud Inleiding 3 Onderzoeksvragen 3 Integraal risicomanagement onvoldoende beschreven 4 Aanbevelingen 5 Over VvAA 7 2 VvAA Risicomanagement

Nadere informatie

Hoofdlijnen Corporate Governance Structuur

Hoofdlijnen Corporate Governance Structuur Hoofdlijnen Corporate Governance Structuur 1. Algemeen Deugdelijk ondernemingsbestuur is waar corporate governance over gaat. Binnen de bedrijfskunde wordt de term gebruikt voor het aanduiden van hoe een

Nadere informatie

Whitepaper implementatie workflow in een organisatie

Whitepaper implementatie workflow in een organisatie Whitepaper implementatie workflow in een organisatie Auteur: Remy Stibbe Website: http://www.stibbe.org Datum: 01 mei 2010 Versie: 1.0 Whitepaper implementatie workflow in een organisatie 1 Inhoudsopgave

Nadere informatie

Rollen in Risk Management

Rollen in Risk Management Rollen in Risk Management 10 oktober 2009 1 Inleiding In de afgelopen maanden heeft de Enterprise Risk Management-werkgroep een tweetal columns op de IIA website gepubliceerd: 1. Een algemene inleiding

Nadere informatie

Zekerheid in de Cloud. ICT Accountancy praktijk dag: Cloud computing 27 mei 2014

Zekerheid in de Cloud. ICT Accountancy praktijk dag: Cloud computing 27 mei 2014 Zekerheid in de Cloud ICT Accountancy praktijk dag: Cloud computing 27 mei 2014 Agenda - Wat speelt zich af in de Cloud - Cases - Keurmerk Zeker-OnLine - Wat is het belang van de accountant en het administratiekantoor

Nadere informatie

Hoofdlijnen Corporate Governance Structuur Stek

Hoofdlijnen Corporate Governance Structuur Stek Hoofdlijnen Corporate Governance Structuur Stek 1 Algemeen Deugdelijk ondernemingsbestuur is waar corporate governance over gaat. Binnen de bedrijfskunde wordt de term gebruikt voor het aanduiden van hoe

Nadere informatie

NS in beweging, Security als business enabler september 2008

NS in beweging, Security als business enabler september 2008 NS in beweging, Security als business enabler september 2008 Rien Dijkstra Enterprise IT Architect Informatiemangement & Technologie .. de noodzaak en uitdagingen van een topvervoerder, onder eigen regie,

Nadere informatie

Auditstatuut. Systeemtoezicht Wegvervoer

Auditstatuut. Systeemtoezicht Wegvervoer Auditstatuut Systeemtoezicht Wegvervoer Datum: 17 januari 2013 Status: vastgesteld versie 1.0 Pagina 1 van 9 Inhoud 1 Voorwoord 3 2 Audits 4 2.1 Systeemcriteria 4 3 Traject audit 5 3.1 Self-assessment

Nadere informatie

SAP Risk-Control Model. Inzicht in financiële risico s vanuit uw SAP processen

SAP Risk-Control Model. Inzicht in financiële risico s vanuit uw SAP processen SAP Risk-Control Model Inzicht in financiële risico s vanuit uw SAP processen Agenda 1.Introductie in Risicomanagement 2.SAP Risk-Control Model Introductie in Risicomanagement Van risico s naar intern

Nadere informatie

Verantwoordingsrichtlijn

Verantwoordingsrichtlijn Verantwoordingsrichtlijn Verantwoordingsrichtlijn t.b.v. de edp-audit voor de beveiliging van Suwinet. Door Jan Breeman BKWI Verantwoordingsrichtlijn Verantwoording over de beveiliging van Suwinet De Regeling

Nadere informatie

Interne audits, het rendement

Interne audits, het rendement Interne audits, het rendement HKZ Kwaliteitsdag Olav Kloek 8 april 2014 SAFER, SMARTER, GREENER Strategie van de organisatie Herontwerp van organisaties, door: Nieuw financieringsstelsel Zelfsturende/zelfregulerende

Nadere informatie

Privacy: Compliance en Governance Hoe kan privacy binnen de organisatie worden geoptimaliseerd?

Privacy: Compliance en Governance Hoe kan privacy binnen de organisatie worden geoptimaliseerd? Privacy: Compliance en Governance Hoe kan privacy binnen de organisatie worden geoptimaliseerd? Mei 2014 I. Privacy als risico voor uw organisatie Veel bedrijven verwerken persoonsgegevens om bepaalde

Nadere informatie

SURF Informatiebeveiliging & Privacy. Huidige en toekomstige ontwikkelingen: SURF(net), SURFibo en SURFaudit

SURF Informatiebeveiliging & Privacy. Huidige en toekomstige ontwikkelingen: SURF(net), SURFibo en SURFaudit SURF Informatiebeveiliging & Privacy Huidige en toekomstige ontwikkelingen: SURF(net), SURFibo en SURFaudit Bart van den Heuvel, UM, SURFibo - april 2015 even voorstellen: Bart van den Heuvel - Universiteit

Nadere informatie

Corporaties In Control

Corporaties In Control Corporaties In Control D A T U M : 3 0 M E I 2 0 1 3 Leonie van Meel & Frank Bieleman Agenda 1. Speelveld 2. Risicomanagement / Governancecode 3. Projectfasering ICS 4. Onafhankelijke rol / verantwoordelijkheid

Nadere informatie

Aan de raad van de gemeente Lingewaard

Aan de raad van de gemeente Lingewaard 6 Aan de raad van de gemeente Lingewaard *14RDS00194* 14RDS00194 Onderwerp Nota Risicomanagement & Weerstandsvermogen 2014-2017 1 Samenvatting In deze nieuwe Nota Risicomanagement & Weerstandsvermogen

Nadere informatie

Energie management Actieplan

Energie management Actieplan Energie management Actieplan Conform niveau 3 op de CO 2 -prestatieladder 2.2 Auteur: Mariëlle de Gans - Hekman Datum: 30 september 2015 Versie: 1.0 Status: Concept Inhoudsopgave 1 Inleiding... 2 2 Doelstellingen...

Nadere informatie

Energiemanagementprogramma HEVO B.V.

Energiemanagementprogramma HEVO B.V. Energiemanagementprogramma HEVO B.V. Opdrachtgever HEVO B.V. Project CO2 prestatieladder Datum 7 december 2010 Referentie 1000110-0154.3.0 Auteur mevrouw ir. C.D. Koolen Niets uit deze uitgave mag zonder

Nadere informatie

Energiemanagement Actieplan

Energiemanagement Actieplan 1 van 8 Energiemanagement Actieplan Datum Rapportnr Opgesteld door Gedistribueerd aan A. van de Wetering & H. Buuts 1x Directie 1x KAM Coördinator 1x Handboek CO₂ Prestatieladder 1 2 van 8 INHOUDSOPGAVE

Nadere informatie

Studiedag VZI Risicomanagement Toepassing van gecertificeerde kwaliteitsmanagementsystemen Kees van Putten, DEKRA Solutions B.V.

Studiedag VZI Risicomanagement Toepassing van gecertificeerde kwaliteitsmanagementsystemen Kees van Putten, DEKRA Solutions B.V. Studiedag VZI Risicomanagement Toepassing van gecertificeerde kwaliteitsmanagementsystemen Kees van Putten, DEKRA Solutions B.V. Een kwaliteitsmanagementsysteem helpt bij de beheersing van risico s Want

Nadere informatie

Seminar! BETEKENIS VAN INTERNE AUDIT voor specifieke verzekeraars!

Seminar! BETEKENIS VAN INTERNE AUDIT voor specifieke verzekeraars! Seminar! BETEKENIS VAN INTERNE AUDIT voor specifieke verzekeraars! 1! Inrichting van de IAF! zoals het moet! Esther Poelsma RA CIA! 2! Programma! Even voorstellen Waarom een IAF? Wat is de rol van een

Nadere informatie

Stichting Pensioenfonds Wolters Kluwer Nederland. Compliance program. Vastgesteld en gewijzigd in de bestuursvergadering van 12 februari 2014

Stichting Pensioenfonds Wolters Kluwer Nederland. Compliance program. Vastgesteld en gewijzigd in de bestuursvergadering van 12 februari 2014 Stichting Pensioenfonds Wolters Kluwer Nederland Compliance program Vastgesteld en gewijzigd in de bestuursvergadering van 12 februari 2014 1 Inleiding In dit Compliance Program is de inrichting van de

Nadere informatie

5-daagse bootcamp IT Risk Management & Assurance

5-daagse bootcamp IT Risk Management & Assurance 5-daagse bootcamp IT Risk Management & Assurance Verhoog het niveau van uw risicomanagement processen vóór 1 juni naar volwassenheidsniveau 4! ISO31000 DAG 1 DAG 2 DAG 3 OCHTEND NIEUW ISO27005 DAG 3 MIDDAG

Nadere informatie

Energie Kwailteitsmanagement systeem

Energie Kwailteitsmanagement systeem Energie Kwailteitsmanagement systeem (4.A.2) Colofon: Opgesteld : drs. M.J.C.H. de Ruijter paraaf: Gecontroleerd : W. van Houten paraaf: Vrijgegeven : W. van Houten paraaf: Datum : 1 april 2012 Energie

Nadere informatie

Berry Kok. Navara Risk Advisory

Berry Kok. Navara Risk Advisory Berry Kok Navara Risk Advisory Topics Informatiebeveiliging in het nieuws Annual Benchmark on Patient Privacy & Data Security Informatiebeveiliging in de zorg Extra uitdaging: mobiel Informatiebeveiliging

Nadere informatie

Geïntegreerd jaarverslag Gasunie 2013

Geïntegreerd jaarverslag Gasunie 2013 Risicomanagement We onderkennen een aantal algemene risico s. De aard van onze werkzaamheden brengt daarnaast nog specifieke risico s met zich mee. Om deze zo goed mogelijk te beheersen en waar mogelijk

Nadere informatie

Leidraad PLAN VAN AANPAK OP WEG NAAR EEN CERTIFICEERBAAR KWALITEITSMANAGEMENTSYSTEEM

Leidraad PLAN VAN AANPAK OP WEG NAAR EEN CERTIFICEERBAAR KWALITEITSMANAGEMENTSYSTEEM Pagina 1 van 6 Leidraad PLAN VAN AANPAK OP WEG NAAR EEN CERTIFICEERBAAR KWALITEITSMANAGEMENTSYSTEEM In het onderstaande is een leidraad opgenomen voor een Plan van aanpak certificeerbaar kwaliteitsmanagementsysteem.

Nadere informatie

3-daagse praktijktraining. IT Audit Essentials

3-daagse praktijktraining. IT Audit Essentials 3-daagse praktijktraining IT Audit Essentials Programma IT-Audit Essentials Door de steeds verdergaande automatisering van de bedrijfsprocessen wordt de beveiliging en betrouwbaarheid van de IT systemen

Nadere informatie

RISICOMANAGEMENT VOOR WONINGCORPORATIES

RISICOMANAGEMENT VOOR WONINGCORPORATIES INTEGRAAL RISICOMANAGEMENT VOOR WONINGCORPORATIES Together you make the difference RISICOMANAGEMENT BIJ WONINGCORPORATIES Deel 2 van een drieluik over het belang van goed risicomanagement in de corporatie

Nadere informatie

Handleiding voor het SURF Groene ICT Maturity Model

Handleiding voor het SURF Groene ICT Maturity Model Een zelfscan voor Groene ICT en Duurzaamheid in de organisatie Auteur(s): Met dank aan: Versie: Gebaseerd op: Albert Hankel Henk Plessius, Dirk Harryvan, Bert van Zomeren 2.0 SGIMM v2.0 Datum: 16-04-2015

Nadere informatie

Horizontaal toezicht of horizontale samenwerking? Workshop bij Landelijke Themadag Verminderen administratieve lasten en Horizontaal toezicht

Horizontaal toezicht of horizontale samenwerking? Workshop bij Landelijke Themadag Verminderen administratieve lasten en Horizontaal toezicht Horizontaal toezicht of horizontale samenwerking? Workshop bij Landelijke Themadag Verminderen administratieve lasten en Horizontaal toezicht Inhoud Even voorstellen Handreiking control framework Enquête

Nadere informatie

Advies informatiebeveiligings analyse HvA

Advies informatiebeveiligings analyse HvA Advies informatiebeveiligings analyse HvA Wouter Borremans - 0461911 - v1.1 1 Juni 2005 1 Inleiding Dit document is geschreven met als doel om de Hogeschool van Amsterdam[5] (HvA) te voorzien van een advies

Nadere informatie

HOEBERT HULSHOF & ROEST

HOEBERT HULSHOF & ROEST Inleiding Artikel 1 Deze standaard voor aan assurance verwante opdrachten heeft ten doel grondslagen en werkzaamheden vast te stellen en aanwijzingen te geven omtrent de vaktechnische verantwoordelijkheid

Nadere informatie

Vragenlijst onderzoek

Vragenlijst onderzoek Vragenlijst onderzoek Compliance in de zorg KPMG, VCZ en Erasmus Februari 06. HOEVEEL MEDEWERKERS (FTE) TELT HET ZIEKENHUIS?. IN WAT VOOR TYPE ZIEKENHUIS BENT U WERKZAAM? Algemeen 9 Topklinisch 50-000

Nadere informatie

Readiness Assessment ISMS

Readiness Assessment ISMS Readiness Assessment van ISMS ISO/IEC27001:2005 1 Senior Internal/IT auditor Luyke Tjebbes EMIA RO CISA Lead Auditor ISO/IEC27001:2005 Projectleider ISO assessment 2 Wat is ISO 27001 eigenlijk? ISO/IEC

Nadere informatie

Compliance and Control

Compliance and Control SURFaudit Compliance and Control Terena&TF(MSP&(&Trondheim&(&sept.&11th,&2013&(&Alf&Moens What is SURFaudit? Introduc@on How&did&it&start? Where&are&we&now? standards,&coopera@on&with&other§ors What&do&all&agree&upon&(and&where&do&they&disagree)?

Nadere informatie

Informatiebeveiliging voor gemeenten: een helder stappenplan

Informatiebeveiliging voor gemeenten: een helder stappenplan Informatiebeveiliging voor gemeenten: een helder stappenplan Bewustwording (Klik hier) Structureren en borgen (Klik hier) Aanscherping en maatwerk (Klik hier) Continu verbeteren (Klik hier) Solviteers

Nadere informatie

Tijd voor verandering: Lean Security. Simpeler, sneller, goedkoper, flexibeler en toch effectief

Tijd voor verandering: Lean Security. Simpeler, sneller, goedkoper, flexibeler en toch effectief Tijd voor verandering: Lean Security Simpeler, sneller, goedkoper, flexibeler en toch effectief Lean Security Mei 2013 Informatiebeveiliging Het inrichten van informa>ebeveiliging blijkt iedere keer weer

Nadere informatie

Gedragscode. Inleiding

Gedragscode. Inleiding Gedragscode Inleiding Deze gedragscode is van toepassing op alle werknemers (inclusief de directeurs) die voor een of meer van de entiteiten werken die tot de VastNed Groep behoren (VastNed Retail N.V.,

Nadere informatie

MVO-Control Panel. Instrumenten voor integraal MVO-management. Intern MVO-management. Verbetering van motivatie, performance en integriteit

MVO-Control Panel. Instrumenten voor integraal MVO-management. Intern MVO-management. Verbetering van motivatie, performance en integriteit MVO-Control Panel Instrumenten voor integraal MVO-management Intern MVO-management Verbetering van motivatie, performance en integriteit Inhoudsopgave Inleiding...3 1 Regels, codes en integrale verantwoordelijkheid...4

Nadere informatie

Informatieveiligheidsbeleid

Informatieveiligheidsbeleid Informatieveiligheidsbeleid 2014 Martini Ziekenhuis Groningen Opdrachtgever: Harm Wesseling, directeur ICT en Medische Techniek Auteur: Ger Wierenga, security officer, stafdienst ICT Datum: Oktober 2014

Nadere informatie

Deelplan IC ICT-omgeving 2015 Gemeente Lingewaard

Deelplan IC ICT-omgeving 2015 Gemeente Lingewaard Deelplan IC ICT-omgeving 2015 Gemeente Lingewaard Pagina 1 van 6 Inhoudsopgave 1. Aanleiding 3 2. Structureel / incidenteel 3 3. Opdrachtgever 3 4. Opdrachtnemer 3 5. Relevante wet- en regelgeving 3 6.

Nadere informatie

De definitieve Code Corporate Governance, enige beschouwingen vanuit risicoperspectief.

De definitieve Code Corporate Governance, enige beschouwingen vanuit risicoperspectief. De definitieve Code Corporate Governance, enige beschouwingen vanuit risicoperspectief. In de Code van Commissie Peters De Veertig Aanbevelingen (juni 1997) staat in zeer algemene termen iets over risicobeheersing.

Nadere informatie

Informatiebeveiligingsbeleid SBG

Informatiebeveiligingsbeleid SBG Informatiebeveiligingsbeleid SBG Stichting Benchmark GGZ Rembrandtlaan 46 3723 BK Bilthoven T: 030-229 90 90 E: info@sbggz.nl W: www.sbggz.nl Informatiebeveiligingsbeleid SBG 2015 1 Inhoudsopgave 1 Inleiding

Nadere informatie