Riskbehandling
Dokumentera ert beslut om hur den identifierade risken ska hanteras.
Riskhantering · För IT- och säkerhetsansvariga
Risker att prioritera.
Beslut att följa upp.
Håll ihop riskregistret, bedömningarna och nästa steg. Koppla risker till tillgångar, krav och åtgärder så att ni kan prioritera arbetet och följa upp de beslut ni fattar.
Risker med sammanhang
Se vilka tillgångar och krav som berörs av varje risk.
Gemensam prioritering
Bedöm sannolikhet och konsekvens för att diskutera riskerna på samma grund.
Beslut som går att följa
Dokumentera riskbehandling och koppla åtgärder till arbetet.
01 · Riskregister
Samla riskerna och vad de påverkar
Ett riskregister ska hjälpa er att arbeta med riskerna mellan genomgångarna. Dokumentera riskerna och koppla dem till verksamhetens tillgångar och krav.
- Identifiera risken
- Beskriv vad som kan inträffa och hur verksamheten kan påverkas.
- Koppla till tillgångar
- Visa vilka system eller informationstillgångar som berörs.
- Koppla till krav
- Håll ihop risken med de krav och kontroller som behöver följas upp.
02 · Bedömning
Bedöm riskerna på en gemensam grund
När sannolikhet och konsekvens bedöms konsekvent blir riskanalysen och prioriteringen enklare att diskutera. Riskmatrisen visar bedömningarna och hjälper er att välja var arbetet ska börja.
Sannolikhet
Bedöm hur troligt det är att händelsen inträffar.
Konsekvens
Bedöm vilken påverkan händelsen skulle få för verksamheten.
Prioritering
Använd riskmatrisen som stöd för att välja vilka risker ni ska hantera först.
03 · Riskbehandling
Dokumentera hur risken ska hanteras
En riskbedömning är en utgångspunkt för ett beslut. Samla riskbehandlingen och koppla de åtgärder som behövs till risken.
Kontroller och krav
Koppla risken till relevanta kontroller och krav.
Konkreta åtgärder
Planera arbetet med ansvarig, datum och status.
04 · Uppföljning
Följ upp besluten när verksamheten förändras
Risken finns kvar även när en workshop är över. Använd kopplingen till åtgärder och underlag för att gå igenom vad som har ändrats och vad som återstår.
Åtgärdernas status
Följ vad som är genomfört och vad som fortfarande är öppet.
Förnyad bedömning
Gå igenom sannolikhet och konsekvens när förutsättningarna förändras.
Underlag för beslut
Visa risk, bedömning och riskbehandling tillsammans vid en ledningsgenomgång.
Frågor om riskhantering.
Hur fungerar riskmatrisen?
Ni bedömer riskens sannolikhet och konsekvens. Riskmatrisen visar bedömningarna så att ni kan jämföra risker och diskutera vilka som ska prioriteras.
Vad är skillnaden mellan riskregister och tillgångsregister?
Tillgångsregistret beskriver era system och informationstillgångar. Riskregistret beskriver vad som kan påverka verksamheten. Genom att koppla ihop dem får riskbedömningen ett tydligare sammanhang.
Kan vi koppla risker till krav och kontroller?
Ja. Riskregistret kan kopplas till krav, tillgångar och åtgärder. Kopplingarna hjälper er att visa vilka kontroller som ska hantera en risk och vilket arbete som återstår.
Hur följer vi upp riskbehandlingen?
Dokumentera beslutet om riskbehandling och koppla åtgärder till risken. Åtgärderna kan följas upp med ansvarig, datum och status. Ni gör själva en ny riskbedömning när det behövs.
Hur passar riskhanteringen in i GRC-erbjudandet?
Riskregistret ingår i Risk och krav, som tillsammans med leverantörsmodulens säkerhetspaket bär ChainSecs GRC-erbjudande. Tillgångsregister och Dataskydd kan läggas till vid behov. Vi går igenom upplägget utifrån er verksamhet.
Är ChainSec ett riskhanteringssystem?
För risker inom informationssäkerhet och leverantörer, ja. Riskregister, bedömning av sannolikhet och konsekvens, riskbehandling och åtgärder finns i samma system och kan kopplas till tillgångar och krav. ChainSec ersätter däremot inte ert ledningssystem. Policyer, dokumentstyrning och processer hanterar ni vid sidan om.
Ta arbetet vidare.
Se hur riskarbetet hänger ihop
Vi visar riskregistret, riskbehandlingen och uppföljningen i ChainSecs GRC-erbjudande.