Dynamisch risicomanagement eenvoudig met behulp van GRCcontrol
Copyright 2015 © CompLions B.V.
Mike de Bruijn Product Owner Copyright 2015 © CompLions B.V.
Agenda
• Inleiding • Over CompLions
• GRCcontrol management software • Risicomanagement • Uitdagingen • Dynamisch risicomanagement • Analyses • Risicobehandelingen • Maatregelencyclus • Governance • Compliance
Copyright 2015 © CompLions B.V.
CompLions
Copyright 2015 © CompLions B.V.
Over CompLions Onze doelstelling Het ondersteunen van organisaties
in het efficiënt en effectief beheersen van Governance, risico en compliance behoeften door middel van het borgen van managementsystemen, normen en standaarden met behulp van managementsoftware en ondersteunende (advies)diensten. Copyright 2015 © CompLions B.V.
Over CompLions
Portfolio Management software
Adviesdiensten
Operationele ondersteuning
Business Consultancy
GRCcontrol suite
Abonnementen
Privacy- & Informatiebeveiliging Business Continuïty Kwaliteits- en milieumanagement Certificering (ISO 27001, NEN7510, BIG, ISO 22301, etc.) Interne audits & risico assessments
- Basis - Standaard - Modules IRM (IT Risk Man.) IMM (Incident Man.) DMS (Doc. Man.) PIA ERM AAM
Security Officer as a Service Security Manager as a Service IT Audit as a Service (IAS) • GRCcontrol Functioneel beheer as a Service
Software Consultancy
Training
Installatie en implementatie
Projectdoelstellingen
• •
S E C T O R E N
• • •
• • •
Zorg ICT & telecom Publieke Sector Accountancy Handel & diensten Financieel
Basis GRC Expert GRC
Inzicht & controle t.b.v. G–R–C
Ontzorging
Copyright 2015 © CompLions B.V.
GRCcontrol management software
Copyright 2015 © CompLions B.V.
GRCcontrol • Doelstelling • Eén geautomatiseerd managementsysteem • Voor beheersing (Governance & Riskmanagement) • Inzicht in het voldoen aan (Compliance) • normenkader(s) • managementsystemen (certificering) • wet- en regelgeving
Copyright 2015 © CompLions B.V.
GRCcontrol • Van ISMScontrol naar GRCcontrol (1) • Van vakinhoudelijke gebruikers met proceskennis van een ISMS naar brede gebruikerskring • Vereist eenvoudigere management functionaliteit en workflows om complexe processen te beheersen.
• Meer gebruikers buiten het ISMS (security) domein: • • • • •
Kwaliteitsmanagement Business continuïteit Milieumanagement Procesmanagement Etc.
• Vereist eenvoud in gebruik, schermen en taakafhandeling Copyright 2015 © CompLions B.V.
GRCcontrol • Van ISMScontrol naar GRCcontrol (2) • Van ISMS bereik naar Governance, Riskmanagement en Compliance • Beheersen van veelvoud van managementsystemen • Certificering • Assurance • Vereist enerzijds complexe functionaliteit maar eenvoudiger management functies en workflows om complexe brede materie en grote diversiteit aan gebruikers(niveaus) te beheersen.
Copyright 2015 © CompLions B.V.
Risicomanagement De uitdagingen!
Copyright 2015 © CompLions B.V.
Risicomanagement uitdagingen • Uitdagingen • Organisatiedoelstellingen veranderen door: • • • •
ambities wijzigingen in bijvoorbeeld wet- en regelgeving markten etc.
Door veranderingen ontstaan kansen (doelstellingen), maar ook risico’s.
Copyright 2015 © CompLions B.V.
Risicomanagement uitdagingen • Uitdagingen • Inzicht nodig in risico’s om: • Risico’s te nemen, te verminderen, te vermijden of over te dragen • Input komt uit: • uit de eigen organisatie • en/of externe(keten)partijen • systemen
Copyright 2015 © CompLions B.V.
Risicomanagement uitdagingen • Uitdagingen • Actueel inzicht en grip behouden over: • Assetrisico’s • Procesrisico’s & doelstellingen • Organisatierisico’s & doelstellingen
Copyright 2015 © CompLions B.V.
P Welk P Risicomanagement – De uitdaging P P
P
Middelverant woordelijke
P P
• PGrip op middelrisico’s Proces E P
P
P
P
Middelverant woordelijke
P P P Proces D
P
P
Proces C
P P
Proces E
Welke middelen?
Definitie midde
Proces C
P
P
P
P
P
Proces D
P
Proces B
Proces A
• • • • •
ICT middelen Applicaties Definitie van Gegevens middelen Gebruikte terminologie Gebouwen etc.
Risicomanager
Proces B
Proces A
Risicomanager
Copyright 2015 © CompLions B.V.
P Welk P Risicomanagement – De uitdaging P P
P
Middelverant woordelijke
P P
• PGrip op middelrisico’s Proces E P
P
P
P
Middelverant woordelijke
P P P Proces D
P
P
Proces C
P P
Proces E
Welke middelen?
Definitie midde
Proces C
P
P
P
P
P
Proces D
P
Proces B
Proces A
• • • • •
ICT middelen Applicaties Definitie van Gegevens middelen Gebruikte terminologie Gebouwen Etc.
Risicomanager
Proces B
Proces A
• Organisatie- /personele wijzigingen • Materie wordt als complex ervaren
Risicomanager
Copyright 2015 © CompLions B.V.
P Welk P Risicomanagement – De uitdaging P P
P
Middelverant woordelijke
P P
• PGrip op middelrisico’s Proces E P
P
P
P P
?
P P P P
P P P
P
?Proces C
?Proces B
P
Proces B
Proces A
Middel kritisch?
? Proces D
Classificatie van Proces?
Definitie van middelen RTO/RPO Eisen?
Definitie midde
Proces C
P
Middelverant woordelijke
? Proces E
Welke middelen?
P
P
?
Proces D
BIV eisen?
Gebruikte terminologie
Risicomanager
Geïdentificeerde dreigingen?
Proces A
• Organisatie- /personele wijzigingen • Materie wordt als complex ervaren
Risicomanager
Copyright 2015 © CompLions B.V.
P Welk P Risicomanagement – De uitdaging P P
P
Middelverant woordelijke
P P
P
P
P
?
P P P P
P P P
P
Proces A
P
Middelverant woordelijke
Proces B
Proces A
? Proces E
Middel kritisch?
Classificatie van Proces?
Definitie van middelen RTO/RPO Eisen?
BIV eisen?
Proces Dreigingen
• Organisatie- /personele wijzigingen • Materie wordt als complex ervaren
Definitie midde
Proces C
P
? Proces D
?Proces C
?Proces B
P
?
P
• PGrip op middelrisico’s Proces E P op procesrisico’s en • Grip Proces D Welke middelen? Pdoelstellingen
Gebruikte terminologie
Risicomanager
Geïdentificeerde dreigingen?
Proces Doelstellingen
Risicomanager
Copyright 2015 © CompLions B.V.
P Welk P Risicomanagement – De uitdaging P P
P
Middelverant woordelijke
P P
P
P P
? P
P
?
P
Moeilijke P materie, moeilijk proces! Waar vind ik P eerdere analyses? P
P
P
P
• PGrip op middelrisico’s Proces E P op procesrisico’s en • Grip Proces D Welke middelen? Pdoelstellingen Proces C
P P
Middelverant woordelijke
Definitie midde
Proces B
Proces A
Kwetsbaarheden analyse middelen
Classificatie Middel Proces E van Proces? kritisch? Kwetsbaarheden P Definitie van analyse proces Proces D middelenBusiness impact Gebruikte terminologie analyses Proces C BIV eisen? RTO/RPO Geidentificeerde Eisen? dreigingen? Proces B
?
?
Risicomanager
?
?
Proces A
Proces Dreigingen
• Organisatie- /personele wijzigingen • Materie wordt als complex ervaren
Proces Doelstellingen
Risicomanager
Copyright 2015 © CompLions B.V.
P Welk P Risicomanagement – De uitdaging P P
P
Middelverant woordelijke
P P
P
P
P
?
P P
P
?
P
• PGrip op middelrisico’s Proces E P op procesrisico’s en • Grip Proces D Welke middelen? Pdoelstellingen Proces C
P P
Middelverant woordelijke
Proces B
Frequentie
Proces A
Kwetsbaarheden analyse middelen
Classificatie Middel Proces E van Proces? P kritisch? Kwetsbaarheden P Definitie van analyse proces Proces D middelenBusiness impact P Gebruikte terminologie analyses Proces C BIV eisen? Klopt de RTO/RPO Geidentificeerde Eisen? dreigingen?info? Proces B
?
?
P P P
Definitie midde
Risicomanager
?
?
Proces A
Proces Dreigingen
• Organisatie- /personele wijzigingen • Materie wordt als complex ervaren
Proces Doelstellingen
Bij geen info? Toch door?
Risicomanager
Copyright 2015 © CompLions B.V.
Dynamisch risicomanagement beheersing met GRCcontrol
Copyright 2015 © CompLions B.V.
Dynamisch risicomanagement beheersing met GRCcontrol Plan
Plan
middel- / proces analyses
risicobehandeling
- BIA’s
- Per middel
- DA’s
- Per proces
Maatregelcyclus Van Plan naar implementatie (Do) voor verdere Governance en Compliance (Check en Act)
Copyright 2015 © CompLions B.V.
GRCcontrol
Copyright 2014 © CompLions B.V.
GRCcontrol Beheer instellingen
Copyright 2014 © CompLions B.V.
GRCcontrol Beheer instellingen
Copyright 2014 © CompLions B.V.
GRCcontrol Beheer instellingen
Copyright 2014 © CompLions B.V.
Risicomanagement
Plan
Plan
middel- / proces analyses
risicobehandeling
- BIA’s
- Per middel
- DA’s
- Per proces
Maatregelcyclus Van Plan naar implementatie (Do) voor verdere Governance en Compliance (Check en Act)
Copyright 2015 © CompLions B.V.
Analyses
Copyright 2014 © CompLions B.V.
Analyses
Gebruiker ziet altijd op dezelfde plek alle ‘verlopen’ of ‘nieuwe’ analyses die uitgevoerd moeten worden.
Copyright 2014 © CompLions B.V.
Analyses
Copyright 2014 © CompLions B.V.
Analyses
Copyright 2014 © CompLions B.V.
Analyses
Copyright 2014 © CompLions B.V.
Risicomanagement
Plan
Plan
middel- / proces Analyses
risicobehandeling
- BIA’s
- Per middel
- DA’s
- Per proces
Maatregelcyclus Van Plan naar implementatie (Do) voor verdere Governance en Compliance (Check en Act)
Copyright 2015 © CompLions B.V.
Risicobehandelingen
Risicomanager ziet altijd op dezelfde plek alle ‘verlopen’ of ‘nieuwe’ behandelingen automatisch
Risicobehandelingen
Copyright 2014 © CompLions B.V.
Risicobehandelingen
Stapsgewijs proces
Copyright 2014 © CompLions B.V.
Risicobehandelingen
Risicobehandelingen Visuele heatmap
Copyright 2015 © CompLions B.V.
Risicobehandelingen Inzicht in risico’s vóór en nà de behandeling
Copyright 2015 © CompLions B.V.
Risicomanagement
Plan
Plan
middel- / proces analyses
risicobehandeling
- BIA’s
- Per middel
- DA’s
- Per proces
Maatregelcyclus Van Plan naar implementatie (Do) voor verdere Governance en Compliance (Check en Act)
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing
Organisatie Maatregelenset Onderdelen Medewerkers
Maatregel 5.1.1 Maatregel 5.2.1 Maatregel 6.1.1
Processen
Maatregel 7.1.1 Maatregel 7.2.2
Middelen
Maatregel 7.3.1 Maatregel 8.1.2
Incidenten
Maatregel 9.5.1
Documenten
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing
Verzameling van alle ontdubbelde benodigde beheersingsmaatregelen
Organisatie Maatregelenset Onderdelen Medewerkers Processen Middelen
Documenten
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2
Incidenten
Compliance raamwerk
Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Processen Middelen
Maatregelselectie o.b.v. Risicobehandeling
Documenten
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2
Incidenten
ISO 27002 # ctrl
Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Selectie maatregelen o.b.v. ISO 27002 procesof middelrisico-133 ctrl Maatregelenset analyses of doelstellingenControl
Organisatie Onderdelen
Maatregel 5.1.1
Medewerkers Processen Middelen
Compliance raamwerk
Maatregelselectie o.b.v. Risicobehandeling
Documenten
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2
Incidenten
27001 # ctrl
Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Processen
Maatregelselectie o.b.v. Risicobehandeling
Middelen Maatregel implementatie
Incidenten Documenten
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Processen
Maatregelselectie o.b.v. Risicobehandeling
Middelen Maatregel implementatie
Incidenten Documenten
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Managen van implementaties Control Maatregel 7.1.1
Control
Control
Control
Maatregel 7.2.2 Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Maatregelselectie o.b.v. Risicobehandeling
Processen Middelen Incidenten Documenten
Maatregelcontroles & audits
Maatregel implementatie
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Maatregelselectie o.b.v. Risicobehandeling
Processen Middelen Incidenten Documenten Controle/audits van
implementaties van maatregelen
Maatregelcontroles & audits
Maatregel implementatie
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Maatregelselectie o.b.v. Risicobehandeling
Processen Middelen Incidenten Documenten
Maatregelcontroles & audits
Maatregel implementatie
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Geïntegreerde audits door Control Control mapping met controls Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Processen Middelen Incidenten Documenten
Verbetermaatregelen of bij wijziging
Maatregelselectie o.b.v. Risicobehandeling
Maatregelcontroles & audits
Maatregelimplementatie
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering Organisatie n.a.v. Verbetermaatregelen controles/audits en door Onderdelen dynamisch risicomanagement
Maatregelenset
Medewerkers Processen Middelen Incidenten Documenten
Compliance raamwerk
Verbetermaatregelen of bij wijziging
Maatregelselectie o.b.v. Risicobehandeling
Maatregelcontroles & audits
Maatregelimplementatie
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Processen Middelen Incidenten Documenten
Act
Plan
Verbetermaatregelen of bij wijziging
Maatregelselectie o.b.v. Risicobehandeling
Maatregelcontroles & audits
Maatregelimplementatie
Do
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
Check
ISO 27002 # ctrl
WBP # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset Onderdelen Medewerkers Processen Middelen Incidenten Documenten
Verbetermaatregelen of bij wijziging
Maatregelselectie o.b.v. Risicobehandeling
Maatregelcontroles & audits
Maatregelimplementatie
ISO 27002 # ctrl
27001 # ctrl
Maatregel 5.1.1
Control
Control
Maatregel 5.2.1
Control
Control
Maatregel 6.1.1
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1 Maatregel 8.1.2 Maatregel 9.5.1
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
Maatregelcyclus: Governance & Compliance
Interne beheersing op basis van risicomanagement benadering
Compliance raamwerk
Organisatie Maatregelenset
Onderdelen Act
Nieuwe risicobehandeling bij o.a. Medewerkers andere risicoklasseVerbeter of maatregelen verlopen behandeling. Processen
Act
of bij wijziging
Middelen
Maatregel Controles/au dits
IncidentenCheck Controle op implementaties en geïntegreerde Documenten auditing
Check
Plan Maatregel 5.1.1 Proces/middel analyses Maatregel 5.2.1 maatregelvoorstellen Risicobehandeling Maatregel 6.1.1 Maatregel-
Maatregel implementatie
Control
Control
Control
Control
Control
Maatregel 7.1.1
Control
Control
Maatregel 7.2.2
Control
Control
Maatregel 7.3.1
DoMaatregel 8.1.2 Managen implementaties Maatregel 9.5.1 van geaccepteerde maatregelen uit de risicobehandeling
Do
27001 # ctrl
Control
Plan
selectie o.b.v. Risicobehandeling
ISO 27002 # ctrl
WBP ’13 # ctrl
GITC # ctrl
Control
Control
Control
Control
Control
Control
Control
Control
Copyright 2015 © CompLions B.V.
GRCcontrol • Voordelen • Geïntegreerd dynamisch risicomanagement • Eenvoudige beheersing van wet- en regelgeving & normen (Compliance raamwerk: Map once, comply to many)
• Procesmatige structuur, PDCA en stapsgewijze workflows • Geïntegreerde auditing • Rapportages (geschikt voor certificering) • Content: grote hoeveelheid beschikbare normen/maatregelen, dreigingen, hulpvragen etc. (Plug & Play Governance) • Geen Big Bang implementatie • Mogelijkheid om “klein” te beginnen Copyright 2015 © CompLions B.V.
Risicomanagement
Plan
Plan
middel- / proces analyses
risicobehandeling
- BIA’s
- Per middel
- DA’s
- Per proces
Maatregelcyclus Van Plan naar implementatie (Do) voor verdere Governance en Compliance (Check en Act)
Copyright 2015 © CompLions B.V.
Risicomanagement • Meer zien? • Een DEMO is mogelijk op onze stand: B117
Plan
Plan
middel- / proces analyses
risicobehandeling
- BIA’s
- Per middel
- DA’s
- Per proces
Maatregelcyclus Van Plan naar implementatie (Do) voor verdere Governance en Compliance (Check en Act)
• Meer informatie? Demo/presentatie:
[email protected] Copyright 2015 © CompLions B.V.
