6.1.1 - Risico's en kansen

Bij het plannen van het ISMS bepaalt YipYip welke risico’s en kansen aangepakt moeten worden om:

• te waarborgen dat het ISMS de beoogde resultaten kan bereiken;
• ongewenste effecten te voorkomen of te verminderen;
• continue verbetering te bewerkstelligen.

Aanpak

YipYip hanteert een risicogebaseerde aanpak conform ISO 27001:2022 clausule 6.1:

1. Identificatie — Risico’s en kansen worden geïdentificeerd op basis van de contextanalyse (clausule 4.1) en de eisen van belanghebbenden (clausule 4.2).
2. Beoordeling — Risico’s worden beoordeeld op kans en impact via de methodiek beschreven in clausule 6.1.2.
3. Behandeling — Risico’s boven de acceptatiegrens worden behandeld conform clausule 6.1.3.
4. Borging — Acties worden opgenomen in het risico-register (risico-register.yaml) en gemonitord via clausule 9.1.

Huidige status

De eerste volledige risicobeoordeling volgens deze aanpak is nog niet uitgevoerd (ISMS-371). Tot die tijd zijn de bestaande maatregelen vastgelegd in de control-beschrijvingen, zonder koppeling aan beoordeelde risico’s.

Relatie met andere clausules

Clausule	Relatie
4.1 Organisatiecontext	Levert interne en externe factoren als input
4.2 Belanghebbenden	Levert eisen en verwachtingen als input
6.1.2 Risicobeoordeling	Beschrijft de beoordelingsmethodiek
6.1.3 Risicobehandeling	Beschrijft het behandelplan en de restrisico’s
9.1 Monitoring	Borgt opvolging van risico-acties