Bij cyberrisico’s denk je misschien aan hackers, virussen en beveiligingssoftware. Toch begint cyberweerbaarheid bij een andere vraag: kan je bedrijf nog draaien wanneer een belangrijk systeem uitvalt? Door je kritieke bedrijfsprocessen en digitale afhankelijkheden in kaart te brengen, ontdek je wat je absoluut moet beschermen. Aan de hand van vijf stappen maak je een praktische risicoanalyse voor je bedrijf.
Inhoud:
- Hoe breng je de cyberrisico’s van je bedrijf in kaart?
- Stap 1: bepaal welke bedrijfsprocessen kritiek zijn
- Stap 2: breng de bijbehorende systemen en gegevens in kaart
- Stap 3: breng je afhankelijkheid van leveranciers in kaart
- Stap 4: schat de impact van uitval in
- Stap 5: bepaal welke cyberrisico’s je als eerste aanpakt
- Houd je risicoanalyse actueel
Hoe breng je de cyberrisico’s van je bedrijf in kaart?
Voor deze risicoanalyse heb je geen uitgebreide IT-kennis nodig. Doorloop de vijf stappen en breng je belangrijkste processen, systemen en afhankelijkheden in kaart. Zo ontdek je waar je bedrijf kwetsbaar is en welke cyberrisico’s als eerste aandacht vragen.
Stap 1: bepaal welke bedrijfsprocessen kritiek zijn
Een bedrijfsproces is kritiek wanneer uitval snel gevolgen heeft voor je omzet, klanten of dagelijkse bedrijfsvoering. Breng daarom in kaart welke werkzaamheden moeten doorgaan en hoelang ze maximaal mogen stilliggen.
Maak een lijst van je belangrijkste processen
Begin niet bij de software of systemen die je gebruikt, maar bij het werk dat iedere dag moet doorgaan. Denk bijvoorbeeld aan verkoop, planning, productie en facturatie. Vraag ook je medewerkers welke processen volgens hen snel vastlopen. Zij kennen de dagelijkse praktijk en zien mogelijk afhankelijkheden die je zelf over het hoofd ziet.
Kijk terug naar eerdere incidenten
Gebruik eventuele eerdere storingen, stroomuitval of internetproblemen om de gevolgen van uitval in te schatten. Welke werkzaamheden kwamen stil te liggen? Kon je tijdelijk op een andere manier doorwerken? Kijk ook hoelang het duurde voordat het werk weer op gang kwam en de achterstand was ingehaald.
Simuleer de uitval van een proces
Nog geen bruikbaar incident meegemaakt? Kies een drukke werkdag en stel je voor dat één proces vanaf 09.00 uur stilligt. Bekijk de gevolgen na één uur, vier uur en één werkdag. Kunnen medewerkers verder? Kun je klanten nog helpen? Gaan afspraken, bestellingen en betalingen door? Kijk ook hoeveel achterstallig werk hierdoor ontstaat. Maak het scenario zo concreet mogelijk. Een webshop kan na één uur al bestellingen en omzet mislopen doordat klanten niet kunnen bestellen of betalen. Bij een installatiebedrijf ontstaan gedurende de dag vertragingen wanneer monteurs geen werkbonnen ontvangen.
Bepaal hoelang je ieder proces kunt missen
Deel de processen vervolgens in vier groepen in:
maximaal enkele uren;
maximaal één werkdag;
enkele dagen;
langer dan enkele dagen.
Processen waarbij binnen enkele uren of één werkdag serieuze problemen ontstaan, zijn je kritieke bedrijfsprocessen. In stap 2 breng je in kaart welke systemen en gegevens nodig zijn om deze processen uit te voeren.
Stap 2: breng de bijbehorende systemen en gegevens in kaart
Nu je weet welke bedrijfsprocessen kritiek zijn, onderzoek je wat nodig is om ze uit te voeren. Kijk daarbij verder dan de bedrijfssoftware die je dagelijks gebruikt. Ook je internetverbinding, telefonie, servers, kassasystemen, digitaal aangestuurde machines en bedrijfsgegevens spelen een belangrijke rol. De systemen waarvan je kritieke processen afhankelijk zijn, vormen de digitale levensaders van je bedrijf. Uitval van één zo’n onderdeel kan een belangrijk deel van je bedrijfsvoering platleggen.
Koppel systemen en gegevens aan ieder proces
Breng per kritiek proces in kaart welke systemen en gegevens nodig zijn. Voor facturatie zijn dat bijvoorbeeld boekhoudsoftware, klantgegevens en betaalinformatie. Een installatiebedrijf gebruikt voor de planning mogelijk een online planningssysteem en digitale werkbonnen. Onderstaand voorbeeld laat zien hoe zo’n overzicht eruit kan zien. Verderop lees je hoe je ook leveranciers, noodoplossingen en de impact van uitval beoordeelt.
| Kritiek proces | Benodigde systemen en gegeven | Maximale uitvalduur | Prioriteit |
|---|---|---|---|
| Klanten helpen | CRM, e-mail, telefonie en klantgegevens | Eén werkdag | Middel |
| Bestellingen verwerken | Webshop, betaalsysteem en bestelgegevens | Enkele uren | Hoog |
| Medewerkers inplannen | Planningssysteem, roosters en werkbonnen | Eén werkdag | Middel |
| Producten maken | Productiesoftware, machines en productiegegevens | Enkele uren | Hoog |
| Facturen versturen | Boekhoudsoftware en klant- en betaalgegevens | Enkele dagen | Laag |
De genoemde uitvalduur en prioriteit zijn voorbeelden. De gevolgen voor je eigen bedrijfsvoering bepalen hoe je processen uiteindelijk beoordeelt.
Wat zijn je digitale kroonjuwelen?
Bekijk vervolgens welke systemen en gegevens je absoluut niet kunt missen. Dit zijn je digitale kroonjuwelen: onderdelen waarvan uitval, verlies of diefstal grote gevolgen heeft voor je bedrijf. Denk aan je CRM, orderadministratie, klantgegevens, productiegegevens of zakelijke e-mail. Let vooral op systemen die meerdere kritieke processen ondersteunen. Kijk ook naar onderdelen die maar bij één proces horen, maar waarvan uitval direct leidt tot stilstand, omzetverlies of problemen voor klanten. Deze digitale kroonjuwelen verdienen extra aandacht bij het beschermen van je bedrijf en het voorbereiden op uitval.
Controleer of je zonder het systeem kunt doorwerken
Bekijk vervolgens per systeem of er een tijdelijke werkwijze beschikbaar is. Kun je klantgegevens ergens anders raadplegen? Zijn werkbonnen ook offline beschikbaar? Kun je bestellingen of afspraken tijdelijk handmatig vastleggen? Een papieren planning kan tijdelijk uitkomst bieden. Bij honderden webshopbestellingen per dag is handmatig verwerken waarschijnlijk geen werkbare oplossing. Bepaal daarom per kritisch systeem welke tijdelijke werkwijze mogelijk is en hoelang je deze kunt volhouden.
Van inventarisatie naar technische bescherming
Met deze inventarisatie weet je welke systemen en gegevens bij de technische beveiliging voorrang verdienen. Bespreek de uitkomsten met je IT-beheerder en controleer welke bescherming en herstelmogelijkheden al geregeld zijn. Ook de basischeck Cyberweerbaarheid van onze kennispartner Interpolis kan daarbij helpen. Met deze dienst ontdek je waar de kwetsbaarheden, zwakke plekken en beveiligingsrisico's in je systemen zitten.
Stap 3: breng je afhankelijkheid van leveranciers in kaart
Veel digitale levensaders worden geheel of gedeeltelijk beheerd door andere bedrijven. Denk aan je IT-beheerder, softwareleverancier, hostingpartij, telecomprovider of betaalprovider. Een storing of cyberaanval bij zo’n leverancier kan ook jouw bedrijfsvoering stilleggen. Ga per belangrijk systeem na wie de leverancier of beheerder is. Controleer vervolgens:
wie je bij een storing kunt bereiken;
welke ondersteuning beschikbaar is;
waar je gegevens worden opgeslagen;
of er back-ups worden gemaakt;
hoelang herstel volgens de afspraken mag duren.
Onderzoek ook welke noodoplossing beschikbaar is. Voor een uitgevallen internetverbinding kun je bijvoorbeeld een mobiele hotspot gebruiken. Bij een storing in de zakelijke telefonie kunnen oproepen mogelijk worden doorgeschakeld naar mobiele telefoons.
Bekijk daarnaast wat er in de contracten staat over beschikbaarheid, back-ups en herstel. Mogelijk bewaart je boekhoudsoftware automatisch gegevens, maar weet je niet hoelang het herstel duurt. Ook kan je IT-partner de systemen beheren zonder verantwoordelijkheid te dragen voor een noodomgeving. Zo wordt duidelijk waar je voor de continuïteit van je bedrijf volledig afhankelijk bent van anderen.
Stap 4: schat de impact van uitval in
In stap 1 heb je bepaald hoelang ieder proces kan stilliggen. Nu maak je de gevolgen concreet. Kijk niet alleen naar gemiste omzet, maar ook naar extra kosten, vertraging en schade aan het vertrouwen van klanten.
Bereken de directe en indirecte gevolgen
Bekijk per kritiek proces wat er gebeurt wanneer de uitval de maximale duur bereikt. Bij processen die maar kort mogen stilliggen, onderzoek je bijvoorbeeld de gevolgen na één uur en vier uur. Bij andere processen kijk je naar één of meerdere werkdagen.
| Gevolg | Zo maak je het concreet |
|---|---|
| Omzetverlies | Vermenigvuldig het aantal gemiste verkopen of opdrachten met de gemiddelde opbrengst. |
| Stilstaand werk | Bereken hoeveel medewerkers niet kunnen werken en hoeveel werkuren verloren gaan. |
| Herstelkosten | Schat de kosten van IT-hulp, vervangende apparatuur en overwerk. |
| Achterstanden | Bepaal hoeveel extra uren nodig zijn om het gemiste werk in te halen. |
| Schade voor klanten | Bepaal hoeveel klanten last hebben van vertraging, gemiste afspraken of onbereikbare gegevens. |
Niet ieder gevolg is precies in geld uit te drukken. Denk ook aan gemiste deadlines, klachten van klanten en mogelijke reputatieschade.
Geef ieder proces een impactscore
Beoordeel de gezamenlijke gevolgen per kritiek proces en geef een eenvoudige score:
Laag: de schade is beperkt en binnen de normale bedrijfsvoering op te vangen.
Middel: de schade kost merkbaar extra tijd of geld en raakt mogelijk klanten.
Hoog: de schade leidt tot grote kosten, langdurige stilstand of ernstige problemen voor klanten.
Bekijk daarna het totaalbeeld. Bij twijfel kun je de afzonderlijke gevolgen eerst apart beoordelen. Gebruik de hoogste score als impactscore voor het proces. In stap 5 combineer je deze score met de maximale uitvalduur en bepaal je de prioriteit.
Stap 5: bepaal welke cyberrisico’s je als eerste aanpakt
Je hebt nu in beeld welke processen kritiek zijn, welke systemen en gegevens daarbij horen en wat uitval betekent. Gebruik die informatie om per proces de prioriteit te bepalen. Kijk daarbij naar drie punten:
hoe snel serieuze schade ontstaat;
hoe groot de impact is;
of een werkbare noodoplossing beschikbaar is.
Verdeel de processen over drie prioriteiten
Hoog: binnen enkele uren of één werkdag ontstaat grote schade en er is geen goede noodoplossing.
Middel: uitval heeft merkbare gevolgen, maar je kunt tijdelijk op een andere manier doorwerken.
Laag: het proces kan meerdere dagen stilliggen en de gevolgen blijven beperkt.
Verdeel je kritieke processen over deze drie prioriteiten. Kies daarna de drie processen met de hoogste prioriteit. Controleer voor deze processen als eerste of de digitale kroonjuwelen goed zijn beveiligd, back-ups beschikbaar zijn en duidelijke afspraken met leveranciers bestaan. Zo voorkom je dat tijd en geld vooral naar minder belangrijke systemen gaan. Je begint bij de onderdelen die je onderneming nodig heeft om morgen te kunnen draaien.
Werk met een cyber-noodplan
Met deze prioriteiten weet je wat je als eerste moet beschermen. Leg vervolgens ook vast wat je moet doen wanneer een cyberincident je bedrijf raakt. Een cyber-noodplan helpt je om sneller te handelen en de schade te beperken.
Houd je risicoanalyse actueel
Herhaal de risicoanalyse minimaal één keer per jaar en na grote veranderingen binnen je bedrijf, zoals nieuwe software, een andere leverancier of een nieuw verkoopkanaal. Zo blijft het overzicht aansluiten op je bedrijfsvoering.
