ISO 27001-risicobeoordelingsprompts

Overzicht

Ontdek kant-en-klare prompts om uitgebreide ISO 27001-risicobeoordelingen uit te voeren met ISMS Copilot, van het opstellen van assetinventarissen tot het berekenen van risicoscores en het ontwikkelen van behandelplannen die aansluiten bij de controls van Bijlage A.

Voor wie is dit bedoeld

Deze prompts zijn ontworpen voor:

• Beveiligingsprofessionals die ISO 27001-risicobeoordelingen uitvoeren
• Risicomanagers die risicogebaseerde controleselectie implementeren
• Consultants die risicobeoordelingen voor meerdere klanten uitvoeren
• Organisaties die zich voorbereiden op ISO 27001-certificeringsaudits

Voordat je begint

Prompts voor assetidentificatie

Genereer een uitgebreide assetinventaris

"Maak een sjabloon voor een informatieassetinventaris voor een [branche] bedrijf met [aantal] medewerkers dat [bedrijfsomschrijving]. Neem categorieën op voor: data-assets, applicatiesystemen, infrastructuur, diensten van derden en personeel. Voor elke categorie, geef 10-15 relevante voorbeelden die specifiek zijn voor onze branche en activiteiten."

Voorbeeld: "Maak een sjabloon voor een informatieassetinventaris voor een healthcare SaaS-bedrijf met 75 medewerkers dat patiëntenbetrokkenheidsplatforms aanbiedt aan medische praktijken. Neem categorieën op voor: data-assets, applicatiesystemen, infrastructuur, diensten van derden en personeel. Voor elke categorie, geef 10-15 relevante voorbeelden die specifiek zijn voor onze branche en activiteiten."

Analyseer architectuur voor assetontdekking

"Analyseer deze [architectuurdiagram/netwerkkaart/systeemdocumentatie] en identificeer alle informatieassets die moeten worden opgenomen in onze ISO 27001-assetinventaris. Stel voor elke asset een geschikte eigenaar voor op basis van bedrijfsfunctie en verantwoordelijkheid voor beveiliging."

Definieer criteria voor assetclassificatie

"Definieer informatieclassificatieniveaus (Openbaar, Intern, Vertrouwelijk, Beperkt) voor ISO 27001:2022. Voor elk niveau, geef: een duidelijke definitie, 5 specifieke voorbeelden relevant voor [jouw branche], verwerkingsvereisten, opslagvereisten, toegangscontroles en gevolgen van ongeautoriseerde openbaarmaking."

Identificeer asseteigenaren en verantwoordelijkheden

"Voor elk assettype in een organisatie van [bedrijfsgrootte en -omschrijving], wie zou de asseteigenaar moeten zijn? Definieer criteria voor het toewijzen van eigenaarschap op basis van bedrijfsfunctie, technische verantwoordelijkheid, verantwoordelijkheid voor beveiliging en beslissingsbevoegdheid."

Maak procesgebaseerde assetkartering

"Voor het bedrijfsproces '[procesnaam, bijv. klantonboarding]', identificeer alle informatieassets die betrokken zijn, waaronder: gegevens die worden aangemaakt/verwerkt, gebruikte systemen, infrastructuurafhankelijkheden, diensten van derden en personeelsrollen. Presenteer als een processtroom met assets gekoppeld aan elke stap."

Prompts voor dreigings- en kwetsbaarheidsanalyse

Genereer asset-specifieke dreigingsscenario's

"Voor [assetnaam en -type] met [gegevensomschrijving] in een [hostingomgeving], identificeer realistische dreigingen, rekening houdend met: cyberaanvallen (ransomware, phishing, DDoS), insiderdreigingen (kwaadwillende medewerkers, misbruik van privileges), systeemstoringen (hardware, software, netwerk), risico's van derden (leveranciersinbreuken, supply chain-aanvallen) en fysieke dreigingen (diefstal, rampen). Beschrijf voor elke dreiging het aanvalsscenario en de potentiële bedrijfsimpact."

Voorbeeld: "Voor onze klantendatabase met PII en betaalkaartgegevens in een AWS-gehoste PostgreSQL-omgeving, identificeer realistische dreigingen, rekening houdend met: cyberaanvallen, insiderdreigingen, systeemstoringen, risico's van derden en fysieke dreigingen. Beschrijf voor elke dreiging het aanvalsscenario en de potentiële bedrijfsimpact."

Identificeer technologie-specifieke kwetsbaarheden

"Wat zijn veelvoorkomende kwetsbaarheden in [jouw technologiestack] die door aanvallers kunnen worden uitgebuit? Neem op: configuratiezwaktes (standaardinstellingen, hardeninggaten), toegangscontroleproblemen (authenticatie, autorisatie), encryptieproblemen (data in rust, tijdens transport), patchbeheeruitdagingen en onveilige integraties."

Analyseer de dreigingslandschap van de branche

"Welke informatiebeveiligingsdreigingen zijn het meest relevant voor [jouw branche] bedrijven in [regio]? Neem op: regelgevings- en nalevingsrisico's, concurrentie-inlichtingenvergaring, sectorspecifieke aanvalspatronen, kwetsbaarheden in de toeleveringsketen en opkomende dreigingen op basis van recente branche-incidenten."

Beoordeel risico's van externe leveranciers

"Maak een risicobeoordeling van derden voor onze belangrijkste leveranciers: [lijst met leveranciersnamen en de diensten die zij leveren]. Identificeer voor elke leverancier risico's met betrekking tot: gegevenstoegang en -verwerking, beschikbaarheid en continuïteit van diensten, beveiligingsincidenten en melding van inbreuken, nalevingsfouten (GDPR, SOC 2) en contractbeëindigingsscenario's."

Evalueer kwetsbaarheden van menselijke factoren

"Identificeer kwetsbaarheden van menselijke factoren in onze organisatie, rekening houdend met: het beveiligingsbewustzijnsniveau van medewerkers ([huidige staat]), thuiswerkafspraken ([percentage thuiswerk]), toegang tot gevoelige gegevens ([aantal gebruikers]), frequentie van beveiligingstraining ([huidige frequentie]) en vatbaarheid voor phishing. Stel specifieke kwetsbaarheidsscenario's voor die kunnen worden uitgebuit."

Prompts voor risicoberekening

Beoordeel dreigingswaarschijnlijkheid

"Voor de dreiging '[specifieke dreiging]' die '[specifieke kwetsbaarheid]' in onze [assetomschrijving] uitbuit, beoordeel de waarschijnlijkheid op een schaal van 1-5 waarbij 1=zeldzaam, 2=onwaarschijnlijk, 3=mogelijk, 4=waarschijnlijk, 5=bijna zeker. Overweeg: onze bestaande controls ([lijst huidige controls]), capaciteiten en motivatie van dreigingsactoren, historische incidenten in onze branche, huidige beveiligingsstatus en eventuele compenserende factoren. Toon je redenering voor de score."

Voorbeeld: "Voor de dreiging 'ransomware-aanval via phishing-e-mail' die 'onvoldoende beveiligingsbewustzijnstraining voor medewerkers' in ons 50-medewerkers tellende SaaS-bedrijf uitbuit, beoordeel de waarschijnlijkheid op een schaal van 1-5. Overweeg: we hebben basis e-mailfiltering maar geen geavanceerde dreigingsbescherming, geen beveiligingsbewustzijnstrainingsprogramma, 80% thuiswerkende medewerkers, en de zorgsector heeft een stijging van 40% in ransomware-aanvallen gezien jaar-op-jaar. Toon je redenering voor de score."

Evalueer bedrijfsimpact

"Voor het risico '[dreiging] voor [asset]', beoordeel de impact op een schaal van 1-5 waarbij 1=verwaarloosbaar, 2=klein, 3=matig, 4=groot, 5=ernstig. Overweeg: financieel verlies (omzetimpact, boetes van toezichthouders, herstelkosten), operationele verstoring (duur van uitval, degradatie van dienstverlening, productiviteitsverlies), regelgevende gevolgen (GDPR-boetes, nalevingsovertredingen, meldingsvereisten), reputatieschade (klantvertrouwen, mediaberichtgeving, marktpositie) en juridische aansprakelijkheid. Toon je redenering voor de score."

Genereer risicomatrix en drempelwaarden

"Maak een 5x5-risicomatrix voor ISO 27001 waarbij Waarschijnlijkheid (1-5) en Impact (1-5) risicoscores opleveren. Definieer risiconiveaus: Laag (scores 1-6, groen), Gemiddeld (scores 8-12, geel), Hoog (scores 15-20, oranje), Kritiek (scores 25, rood). Specificeer voor elk niveau: vereiste behandelingstijdlijn, goedkeuringsbevoegdheid, acceptabel restrisicobereik en monitoringsfrequentie."

Bereken restrisico na controls

"Voor het risico '[risicobeschrijving]' met initiële score [X], als we controls '[lijst controls]' implementeren, wat zou dan de restrisicoscore zijn? Leg uit hoe elke control de waarschijnlijkheid of impact vermindert, schat de nieuwe waarschijnlijkheids- en impactscores, bereken het restrisico en bevestig of het restrisico binnen acceptabele grenzen valt."

Prompts voor risicobehandeling

Genereer control-aanbevelingen

"Voor het risico '[risicobeschrijving]' met score [X], stel ISO 27001:2022 Bijlage A-controls voor die dit risico effectief zouden mitigeren. Voor elke aanbevolen control: vermeld het controlenummer en de naam, leg uit hoe het de waarschijnlijkheid of impact vermindert, beschrijf de implementatieaanpak, schat kosten en inspanning (laag/middel/hoog), geef de verwachte restrisicoscore en noem het bewijs dat nodig is om de effectiviteit aan te tonen."

Vergelijk behandelingsopties kosteneffectief

"Vergelijk behandelingsopties voor het risico '[risicobeschrijving]' met huidige score [X]: Optie A - [control-aanpak met geschatte kosten], Optie B - [alternatieve control-aanpak met geschatte kosten], Optie C - [derde optie met geschatte kosten]. Evalueer voor elke optie: effectiviteit van risicoreductie, implementatiecomplexiteit, doorlopende onderhoudslast, compatibiliteit met bestaande controls en rendement op beveiligingsinvestering. Beveel de meest kosteneffectieve aanpak aan, rekening houdend met onze risicobereidheid van [risicobereidheidsverklaring]."

Voorbeeld: "Vergelijk behandelingsopties voor 'ongeautoriseerde toegang tot klantendatabase' met huidige score 20: Optie A - implementeer MFA, RBAC en SIEM-monitoring (€50k), Optie B - verbeterde database-encryptie en toegangslogging (€25k), Optie C - overstappen naar een managed databaseservice met ingebouwde beveiliging (€30k per jaar). Beveel de meest kosteneffectieve aanpak aan, rekening houdend met onze risicobereidheid van 'geen restrisico boven 12 voor kritieke assets'."

Maak een uitgebreid behandelplan

"Genereer een risicobehandelplan voor het risico '[risicobeschrijving]'. Neem op: risico-ID en -omschrijving, huidige risicoscore (waarschijnlijkheid × impact), geselecteerde behandeloptie (mitigeren/vermijden/overdragen/accepteren), specifieke te implementeren controls met Bijlage A-referenties, implementatie-eigenaar en verantwoordelijk leidinggevende, streefdatum voor voltooiing, vereist budget en middelen, verwachte restrisicoscore, benadering voor monitoring en verificatie, en goedkeuringsstatus. Formatteer als een audit-ready behandelplan."

Ontwikkel risicoacceptatieverantwoording

"Maak een risicoacceptatieverantwoording voor '[risicobeschrijving]' met score [X] die we willen accepteren in plaats van behandelen. Neem op: bedrijfsredenering voor acceptatie (kosten-batenanalyse), bevestiging dat de score binnen onze risicobereidheid van [bereidheidsdrempel] valt, compenserende controls of monitoring die aanwezig zijn, voorwaarden die herbeoordeling zouden activeren, goedkeuringsvereisten (welke leidinggevenden moeten tekenen) en documentatie voor het audittraject."

Prompts voor control-kartering

Koppel risico's aan Bijlage A-controls

"Welke ISO 27001:2022 Bijlage A-controls pakken het risico '[risicobeschrijving]' aan? Voor elke relevante control: vermeld het controlenummer en de naam, leg het specifieke controledoel uit, beschrijf hoe het dit specifieke risico mitigeert (waarschijnlijkheid of impact vermindert), schets implementatievereisten, noem het bewijs dat nodig is om naleving aan te tonen en vermeld eventuele afhankelijkheden van andere controls."

Maak een control-selectiematrix

"Genereer een control-selectiematrix die laat zien welke Bijlage A-controls welke risico's in ons risicoregister aanpakken. Structureer als een tabel met kolommen: Risico-ID, Risicobeschrijving, Risicoscore, Geselecteerde Controls (met controlenummers), Implementatiestatus van de Control, Rechtvaardiging voor Controlselectie. Toon relaties voor onze top 15 risico's, geordend op risicoscore (hoogste eerst)."

Verantwoord control-uitsluitingen

"Voor Bijlage A-control [controlenummer en -naam], leg uit waarom we deze mogelijk uitsluiten van onze Verklaring van Toepasselijkheid. Overweeg: is de control relevant voor de risico's die we hebben geïdentificeerd? Maakt ons bedrijfsmodel of onze technologie het niet toepasbaar? Zijn er alternatieve controls die hetzelfde doel bereiken? Geef een audit-ready verantwoording als uitsluiting wordt aanbevolen."

Prompts voor documentatie

Genereer een executive risicosamenvatting

"Maak een executive samenvatting van onze ISO 27001-risicobeoordeling voor presentatie aan het management. Neem op: totaal aantal beoordeelde assets per categorie, aantal geïdentificeerde risico's georganiseerd naar ernstniveau (kritiek/hoog/middel/laag), verdeling van risicoscores over bedrijfsonderdelen, belangrijkste bevindingen en kritieke kwetsbaarheden, top 5 prioriteitsrisico's die onmiddellijke actie vereisen, aanbevolen behandelingsaanpak en budgetvereisten, tijdlijn voor risicomitigatie en verwachte nalevingsstatus na behandeling. Doelgroep: niet-technische leidinggevenden. Formatteer als een 2-pagina's tellend executive overzicht."

Documenteer de risicobeoordelingsmethodologie

"Schrijf een uitgebreid document over de risicobeoordelingsmethodologie voor ISO 27001:2022-naleving. Neem secties op voor: scope en doelstellingen (wat we beoordelen en waarom), proces voor assetidentificatie (hoe we assets ontdekken en catalogiseren), benadering van dreigings- en kwetsbaarheidsanalyse (bronnen en methoden), waarschijnlijkheidsschaal met definities en voorbeelden, impactschaal met definities over meerdere dimensies (financieel, operationeel, regelgevend, reputatie), risicoberekeningsformule en -matrix, criteria voor risicoacceptatie en drempelwaarden, rollen en verantwoordelijkheden (wie doet wat), beoordelingsfrequentie en triggers voor herbeoordeling, en documentatievereisten. Formatteer voor auditaanlevering met juiste ISO-clausuleverwijzingen."

Maak een audit-ready risicoregister

"Genereer een compleet risicoregistersjabloon dat voldoet aan de eisen van ISO 27001:2022 Clausule 6.1.2. Neem kolommen op voor: Risico-ID (unieke identificatie), Beïnvloed Asset, Dreigingsomschrijving, Uitgebuite Kwetsbaarheid, Bestaande Controls, Waarschijnlijkheidsscore (1-5 met rechtvaardiging), Impactscore (1-5 met rechtvaardiging), Inherent Risicoscore (W×I), Behandeloptie (mitigeren/vermijden/overdragen/accepteren), Geselecteerde Controls (Bijlage A-referenties), Implementatiestatus, Restrisicoscore, Risico-eigenaar, Beoordelingsdatum en Goedkeuringsstatus. Geef 10 voorbeeldentries voor een [jouw branche] organisatie."

Bouw de basis voor de Verklaring van Toepasselijkheid

"Maak op basis van onze risicobeoordelingsresultaten een concept-Verklaring van Toepasselijkheid (SoA) voor ISO 27001:2022. Voor elk van de 93 Bijlage A-controls: vermeld het controlenummer en de naam, geef de toepasbaarheid aan (Ja/Nee/Gedeeltelijk), verwijs naar welke specifieke risico's de controlselectie rechtvaardigen, beschrijf onze implementatieaanpak, vermeld de implementatiestatus (Geïmplementeerd/In uitvoering/Gepland) en identificeer eventuele hiaten of uitsluitingsverantwoording. Organiseer per Bijlage A-thema (Organisatorisch, Mensen, Fysiek, Technologisch)."

Prompts voor stakeholdervalidatie

Bereid materialen voor de reviewmeeting voor

"Maak een presentatie voor een risicobeoordelingsreviewmeeting met afdelingshoofden. Neem slides op voor: overzicht van de ISO 27001-risicobeoordelingsmethodologie, samenvatting van risico's geïdentificeerd in hun specifieke afdeling, voorgestelde behandelplannen die hun team beïnvloeden, vereiste acties en middelenverplichtingen van hun afdeling, budgetimplicaties en kostenverdeling, tijdlijn en mijlpalen, en goedkeuringsvereisten. Streef naar een presentatie van 30 minuten met mogelijkheden voor discussie."

Genereer validatievragen

"Maak een lijst met validatievragen om aan afdelingshoofden te stellen bij het beoordelen van risicobeoordelingen voor hun gebieden. Orden per onderwerp: Volledigheid van Assets (Hebben we alle kritieke assets geïdentificeerd?), Realisme van Dreigingen (Zijn deze dreigingen realistisch gezien onze omgeving?), Nauwkeurigheid van Kwetsbaarheden (Bestaan deze zwaktes daadwerkelijk?), Impactbeoordeling (Is de bedrijfsimpact correct geëvalueerd?), Haalbaarheid van Controls (Kunnen we deze controls daadwerkelijk implementeren?), Beschikbaarheid van Middelen (Heb je budget en personeel?), en Redelijkheid van Tijdlijn (Zijn deadlines haalbaar?)."

Prompts voor doorlopend risicobeheer

Definieer herbeoordelingstriggers

"Definieer specifieke triggers die herbeoordeling van informatiebeveiligingsrisico's vereisen volgens ISO 27001:2022 Clausule 6.1.3. Neem op: technologische veranderingen (nieuwe systemen, cloudmigraties, architectuurupdates), bedrijfsveranderingen (uitbreiding, nieuwe producten, fusies en overnames), regelgevingsupdates (nieuwe nalevingsvereisten, handhavingsacties), beveiligingsincidenten (inbreuken, bijna-incidenten, controlestoringen), veranderingen in het dreigingslandschap (nieuwe aanvalsvectoren, branche-incidenten), organisatorische veranderingen (herstructurering, wijzigingen in het management) en veranderingen in de effectiviteit van controls (auditbevindingen, testresultaten). Specificeer voor elke trigger wie de herbeoordeling initieert, tijdlijnvereisten en de scope van de review."

Maak een kwartaalrisicobeoordelingsproces

"Ontwerp een kwartaalrisicobeoordelingsproces voor ISO 27001, inclusief: belangrijke risico-indicatoren om te volgen (trendmetingen), vereiste updates van het risicoregister, veranderingen in het dreigingslandschap om te overwegen, validatie van controle-effectiviteit, nieuwe risico's om te beoordelen, agenda voor de reviewmeeting met tijdsallocaties, rapportagesjablonen voor managementreview, criteria voor het escaleren van risico's die zijn toegenomen, en documentatievereisten voor het audittraject."

Bouw een workflow voor herbeoordeling op basis van wijzigingen

"Ontwerp een workflow voor het bijwerken van de ISO 27001-risicobeoordeling wanneer [specifieke wijziging optreedt, bijv. 'het lanceren van een nieuwe klantgerichte applicatie']. Neem op: het wijzigingsmeldings- en goedkeuringsproces, wie de risicobeoordeling uitvoert (rollen en verantwoordelijkheden), welke specifieke assets en risico's moeten worden beoordeeld, vereisten voor dreigings- en kwetsbaarheidsanalyse, risicoscoring en behandelbeslissingen, updates die nodig zijn voor het risicoregister en de SoA, goedkeurings- en ondertekeningsvereisten, en documentatie die moet worden bijgehouden als auditbewijs."

Prompts voor kwaliteitsborging

Beoordeel de risicobeoordeling op volledigheid

"Beoordeel deze risicobeoordeling aan de hand van de eisen van ISO 27001:2022 Clausule 6.1.2. Controleer op: Zijn alle informatieassets binnen de scope geïdentificeerd? Zijn dreigingen en kwetsbaarheden uitgebreid en realistisch? Is de risicoscoringsmethodologie consistent toegepast? Zijn alle hoge en kritieke risico's aangepakt met behandelplannen? Is de controleselectie gerechtvaardigd door specifieke risico's? Zijn risicoacceptatiebeslissingen correct goedgekeurd? Zijn documentatie en bewijs voldoende voor audit? Identificeer eventuele hiaten, ontbrekende elementen of gebieden die versterking behoeven."

Valideer consistentie tussen beoordelingen

"Vergelijk deze twee risicobeoordelingen [voor vergelijkbare assets of scenario's] en controleer op consistentie in: waarschijnlijkheidsscoring (worden vergelijkbare dreigingen op dezelfde manier gescoord?), impactevaluatie (worden vergelijkbare gevolgen op dezelfde manier beoordeeld?), controleselectie (worden equivalente risico's behandeld met vergelijkbare controls?), risicoacceptatiebeslissingen (wordt risicobereidheid uniform toegepast?). Identificeer inconsistenties die moeten worden opgelost vóór de audit."

Tips voor het effectief gebruiken van deze prompts

Gerelateerde promptbibliotheken

Breid je ISO 27001-implementatie uit met deze gerelateerde promptverzamelingen:

• [ISO 27001-beleid en -procedureprompts](/ISO 27001 prompt library) (binnenkort beschikbaar)
• [ISO 27001-auditvoorbereidingsprompts](/ISO 27001 prompt library) (binnenkort beschikbaar)
• [ISO 27001-gapanalyseprompts](/ISO 27001 prompt library) (binnenkort beschikbaar)
• [SOC 2-promptbibliotheek](/SOC 2 prompt library)

Hulp krijgen

Voor ondersteuning bij risicobeoordelingsprompts:

• Leer best practices: Bekijk onze gids over Hoe voer je een ISO 27001-risicobeoordeling uit met AI
• Begrijp de beperkingen van AI: Lees Hoe gebruik je ISMS Copilot op verantwoorde wijze
• Optimaliseer je workflow: Bekijk Hoe beheer je nalevingsprojecten voor meerdere klanten met werkruimten