Abonneren
Delen
Delen
Embedden
O wat allitereert die titel goed hè? N.a.v. een vraag van Mark op LinkedIn gaan Kees en Renco in gesprek over de nieuwe BIO2 Baselinetoets die onlangs verscheen op de BIO website. Ze bespreken hoe de nieuwe baselinetoets verschilt van de vorige (zowel die van de IBD als de QIS uit het BIR2017 tijdperk) en waarom de kans component in die classificatieinstrument verwerkt is. Ook helderen ze op hoe ISMS-volwassenheid omgekeerd evenreding samenhangt met risicoscores. Genoeg moeilijke woorden gebruikt? Vooral gaan luisteren!
Het transcript dat bij deze podcast zit is m.b.v. AI gegeneerd en kan fouten bevatten.
qeep talking is een podcast van Renco Schoemaker. De BIO Bazen (video)afleveringen maakt hij samen met Kees Hintzbergen. Vanuit zijn bedrijf qeep IT safe adviseert Renco de publieke sector over informatiebeveiliging en privacy in de brede zin. Naast de podcast, schrijft hij al >13 jaar blogs en vanaf 2025 voegde hij daar opinies, video's en links aan toe. Al zijn content en nieuwsbrieven vind je op qeep posted (registratie is gratis). Ook is Renco actief als BIO2 en NIS2/Cbw trainer.
Het transcript dat bij deze podcast zit is m.b.v. AI gegeneerd en kan fouten bevatten.
qeep talking is een podcast van Renco Schoemaker. De BIO Bazen (video)afleveringen maakt hij samen met Kees Hintzbergen. Vanuit zijn bedrijf qeep IT safe adviseert Renco de publieke sector over informatiebeveiliging en privacy in de brede zin. Naast de podcast, schrijft hij al >13 jaar blogs en vanaf 2025 voegde hij daar opinies, video's en links aan toe. Al zijn content en nieuwsbrieven vind je op qeep posted (registratie is gratis). Ook is Renco actief als BIO2 en NIS2/Cbw trainer.
Makers en gasten
Wat is qeep talking?
Een maandelijkse podcast waarin Renco Schoemaker in gesprek gaat met uiteenlopende gasten over informatiebeveiliging en privacy. Het gaat daarbij vooral om het 'hoe' in de context van de (lokale) overheid.
Welkom bij de BIO Bazen. Speciale afleveringen van de qeep talking podcast die helemaal gewijd zijn aan de baseline informatiebeveiliging overheid.
Kees:En dat kan Renco helemaal niet alleen. Er zijn namelijk 2 BIO Bazen die organisaties verder willen helpen. Door normen en standaarden langs de praktijk te leggen. Mijn naam is Kees Hintzbergen. Ik werk al ruim 13 jaar aan security baselines voor overheidsorganisaties.
Kees:Dat maakt mij een BIO Baas, vind ik.
Renco:Ja, ik ben dus Renco Schoemaker, ongeveer even lang actief als zelfstandig adviseur informatiebeveiliging en privacy, vooral bij de overheid. Ik schreef er misschien wel niet aan mee, maar ik heb wel heel wat uren gestoken in de implementatie. Dat maakt ook mij een BIO Baas.
Kees:Een mooie mix tussen inhoudelijke kennis en doorleefde werkervaring. En er wordt ook gelachen.
Renco:Veel plezier met deze nieuwe aflevering van de BIO Bazen.
Kees:Iemand moet het uitleggen toch?
Renco:Kees, Kees, Kees, wat is het toch weer een genot om jou te zien op vrijdag.
Kees:En moeten we niet eerst even een keer in de handen klappen voor het synchroniseren? Zoiets zo van en dat we dan precies. Nee.
Renco:Ik ben echt een luie editor. Dus wat ik ik doe, ik trek gewoon deze audio eruit en ik zing niks. Ik optimaliseer hem wel en daarna dan vind ik het wel gezegend. Dus nee.
Kees:Het is vandaag eigenlijk een slechte vrijdag, want ik ben nog niet klaar met mijn werk. En ik wilde eigenlijk vanmiddag afwerken. Maar ik ben gewoon niet klaar. En ik weet niet, maar volgens mij had jij het ook veel te druk vandaag.
Renco:Ja, ik had het ook druk ja. Dus was ook een beetje zoeken naar, want normaal een podcast waren aan het begin van de dag. Nu is het al verplaatst naar het eind van de dag en we hadden volgens mij allebei onze onze week nog niet af, maar de tijd was wel op. Ja.
Kees:Ja, inderdaad. En je en jij
Renco:hebt je pastasaus op de achtergrond heb je nog aan het pruttelen.
Kees:Hij pruttelt. Nee, ik heb hem uitgezet. Ik wil nou niet naar de keuken moeten lopen, dus hij staat uit. Hij is klaar eigenlijk.
Renco:Oké, nou, nee, maar goed. Dus het is, het is een wat... De aanloop naar deze opname was wat hectischer dan normaal, maar we hebben toch wel een leuk onderwerp. Zeker een onderwerp wat jou toch aan het hart gaat, Kees. Jazeker.
Renco:Ja, toch?
Kees:Nou, we hebben nog onderwerpen genoeg, maar vandaag gaan we het inderdaad hebben over een leuk onderwerp.
Renco:Ja, ik had een berichtje op LinkedIn geplaatst deze week waarin ik gewoon het bericht deelde dat de het CIP de BIO 2 Baselinetoets had gepubliceerd op haar website inclusief een onderbouwing van het model, inclusief een handleiding over hoe je hem moet gebruiken. Ik had daar verder geen mening aan toegevoegd of zo. Ik had hem gewoon alleen gedeeld op LinkedIn van nou hè dit is dit is nu beschikbaar met het idee als je daarna op staat te wachten of je denkt hé dit kan ik gebruiken, dan kan je hem hier vinden. En daar reageerde iemand op en die die stelde daar een inhoudelijke vraag over. En ja, dat kan dus gebeuren dat je op LinkedIn een vraag stelt en dat dat dus zo belangrijk is dat daar een podcast aflevering aan gewijd wordt.
Kees:Nou. Ja,
Renco:ik hoop dat dat dat uitnodigend is voor onze andere luisteraars om ons af en toe een beetje de goede kant op te duwen.
Kees:Ja, de ik ben ik sta open voor ieder onderwerp. Zeg maar binnen ons vakgebied dan wel te verstaan, hè. Voordat ze helemaal losgaan.
Renco:Ja, daar ga ik krijg je zo meteen tips voor je pastasaus.
Kees:Ja, ja, precies. Precies, nou ja, goed. Ja, inderdaad. Er is een Baselinetoets gepubliceerd. Wat leuk.
Renco:Ja, ik zit even de vraag. Want jij hebt daar natuurlijk uiteraard weet jij daar meer van dan dat die alleen maar op de website verschenen is. Maar de vraagsteller was op LinkedIn was Mark, ik zal de achternaam even achterwege laten. Mark die stelt de vraag, Die stelt de vraag, even kijken wat voor vraag stelt hij ook alweer? Ja, deze vraag.
Renco:Ik ben een beetje zoekende naar de positie van dit hulpmiddel, dus de nieuwe baseline toets. In de basiswerkwijze staat de kans vastgezet op niveau 3 waardoor de uitkomst feitelijk een impactdrempel is en in de werkwijze volledig weeg je de kans maal impact en corrigeer je voor je sms volwassenheid. Dan lijkt het eerder op een lichte risicobeoordeling. Hoe zien, zie jij die 2 smaken ten opzichte van elkaar? En hij, hij zijn, hij stelt eigenlijk de vraag, hoort de kanscomponent wel thuis in een classificatie instrument?
Renco:Nou, toen dacht ik hier vindt Kees wat van en waarom weet ik dat? Nou Kees jij hebt nog wel, je hebt een beetje te maken gehad met de totstandkoming van dit instrument toch?
Kees:Ja, nou ja, kijk het is natuurlijk, het staat nu op de website van het CIP. Is een gezamenlijk product. En het is een, het is eigenlijk nu onderdeel geworden van nou ja het BIO 2 ecosysteem. Ja. En het is een belofte geweest in de, in deel 1 van de BIO, van de BIO 2 staat dat je in 6 punt 2 dat je een risicomanagement methodiek moet kiezen.
Kees:Ja. En de, en de 1e, en de 1e bullet is dat je een quickscan moet gebruiken om te bepalen of het basisniveau toereikend is. Of dat aanvullende maatregelen noodzakelijk zijn en waarin de classificatie van een proces en een informatiesysteem wordt uitgevoerd. Dus eigenlijk is met het publiceren van de BIO is er eigenlijk gezegd nou er moet ook een Baselinetoets zijn. En die was er heel vroeger.
Renco:Ja, was er.
Kees:Ja, was een Baselinetoets van de IBD. Er was een QIS van de Rijksoverheid. En nee, die hoorde bij de BIO 1 van de ja, bij de BIO 1. Ja. En er was een er was een manier om te ontdekken of je een BBN 1 systeem hebt of een BBN 2 systeem of een BBN 3 systeem?
Renco:Nou eigenlijk ging die oude baseline toets. Ik heb dan meer ervaring met die IBD variant. Die ging gewoon eigenlijk de betrouwbaarheidseisen na, hè. Je liep beschikbaarheid in een aantal vragen, integriteit een aantal vragen en vertrouwelijkheid een aantal vragen. En daar kwamen dan scorses uit en omdat het vertrouwelijkheid aspect dan leidend was werd het BBN niveau afgeleid van de vertrouwelijkheidsscore.
Renco:Ja,
Kees:dat klopt. Nou wat ook al heel lang een discussie was is van we hebben een meetlat nodig. Want wat is nou het niveau van de baseline? En en dat was ook al die discussie hadden we ook al met de big en ook al met de beer en eigenlijk is het niveau nooit helemaal goed uitgewerkt, maar in algemene zin zeggen we het basis beveiligingsniveau is gewoon op het niveau van Depv punt. Departementaal vertrouwelijk, dienst geheim geeft er een naam aan.
Kees:En toen we bezig gingen met die met het zeg maar omschrijven van die keers en of en ook de baseline toets van de IBD. Toen zat ik te bedenken van ja, weet je, je kunt wel en dan moet ik even weer een stap teruggaan. Ja. In de CBRO hè, de de regeling of ja, de regeling van BZK die bij de CBW hoort. Dat noemen we de CBRO.
Renco:Staat heel erg voor dan Kees.
Kees:CBRO. De CyberBeveiligingsRegeling Overheid.
Renco:Ja, maar ik hoorde voor het eerst op die manier. Maar ik snap het.
Kees:Ja, deze zo wordt die vaak genoemd en het klopt dus een beetje verwarrend. Maar het is gewoon de regeling van BZK punt. En in die regelingen wordt natuurlijk de BIO aangewezen, maar vooral de ISO en de BIO deel 2. En niet deel 1 overigens, want dat dat kan niet. Dat is een ander verhaal.
Kees:En wat er dus nu gebeurt dus in de bijlage 2 van de CBRO staan de impact niveaus waarlangs je systemen moet beoordelen.
Renco:Ja, dat zijn eigenlijk die 5 punten uitgewerkt impact categorieën hè, die aansluiten bij de impact categorieën van de CBW.
Kees:Oorspronkelijk bedacht door de IBD, maar overgenomen door BZK nog hier en daar wat aangepast. Zou wel juridische, er zullen wel juridische implicaties onder zitten. Maar goed.
Renco:Hij heeft
Kees:2, heeft
Renco:2 varianten Kees hè? Dus eentje voor de Rijksoverheid en eentje voor de lokale overheid.
Kees:Daar deel 1 is die voor de Rijksoverheid. Oké. En deel 2 is die voor de lokale overheid. Oké. En dus dat betekent als je een nieuwe baselinetoets gaat maken dan is dat dus eigenlijk de meetlat.
Kees:Of in ieder geval dat ding waarlangs je gaat meten. En het dus is de insteek van de Baselinetoets is, de gedachte achter de Baselinetoets is, we gaan niet voor alles een risicoanalyse doen. Want we zijn niet op aarde om alleen maar risicoanalyses uit te voeren. Dat moet je doen als het nodig is. Ja.
Kees:En dat betekent dus ook dat je gaat bepalen van vanaf welk niveau moet je nu een risicoanalyse uitvoeren en vanaf welk niveau is de BIO voldoende?
Renco:Nou als ik het even mag toelichten Kees over die niveaus hè, want ik heb het ding hier links op mijn scherm staan, dan zie je ook. Ja. Er zijn 5 risiconiveaus van zeer laag naar laag naar gemiddeld en dan naar hoog en dan naar extreem. Dan zie je ook de uitkomst waarbij dan niveau 1 zeer laag, niveau 2 laag en niveau 3 gemiddeld. Daar zijn daar is het standaard niveau plus eventuele je eigen interne opgepluste baseline maatregelen, dat is optioneel.
Renco:Die zijn voldoende en vanaf niveau 4 wordt is een aanvullende risicoanalyse dan vereist. Want dan zeg je dus, hey, jouw proces of jouw informatiesysteem heeft dermate hoge eisen of misschien zouden we nu moeten zeggen als die uitvalt is impact dermate groot dat jij je je huiswerk beter moet doen of zeg maar.
Kees:Ja, precies. En nou nou is het natuurlijk zo dat ja, je kunt naar een classificatie, je kunt naar een classificatie kijken hoe je wilt, maar in wezen is de quickscan een hele snelle risicoanalyse. Alleen je gebruikt de de tabel uit de uit de CBRO om voor je impact bepaling en in de impact bepaling zit natuurlijk in de rente eigenlijk ook wel een kans aspect. Waarom? Waarom?
Kees:Nou een impact is het resultaat van kans. Je hebt een als je een naar een risico kijkt heb je een dreiging en dan doe je kans maal impact en dan krijg je het risico. Ja, ja. En het risico daar zit dus eigenlijk al een kans component in verweven.
Renco:Dat je nadenkt over het scenario waarin die dreiging zich manifesteert. Dus heb je al een kans van meer dan 1 of van meer
Kees:dan 0. Ja, precies. Maar nu is het zo dat de BIO die wijzigt natuurlijk niet ieder jaar en de baselinetoets al helemaal niet. Dus dat betekent dat je nog steeds gewoon een kans component zou kunnen toevoegen. Want de kans kan natuurlijk veranderen.
Kees:Dus dat is de reden waarom ik heb aan de Baselinetoets een kanscomponent heb toegevoegd. Als je hem niet gebruikt staat die op 3 en dat betekent eigenlijk alleen maar dat aan het in het eindresultaat van de baseline toets hij geen invloed heeft. Je kunt hem invullen. Kunt hem ook inzetten of op 2 of op 4 of op 5.
Renco:Ja, want je moet eigenlijk op het 1e tabblad van die nieuwe baseline toets moet je aangeven op welke manier je hem wilt gebruiken. De werkwijze Die is dan als je basis doet dan heb je de contextanalyse plus de impact categorieën die je langsloopt op die vijfpuntsschaal ga je voor volledig, dan doe je basis aangevuld met kanscomponent en ook, dat zat ik in die vraag van Mark die ik net oplas, ISMS volwassenheid, hè. Dus die daar maak ik dan als ik dat even vrij mag uitleggen dan of toelichten dan hoe ik dat interpreteer Kees, is dat je zegt nou zit een soort omgekeerde evenredigheid in. Als jij iets met als jij een groot risico loopt en je zit ook nog eens een keer laag in je ISMS-volwassenheid. Met andere woorden je hebt niet iets wat lijkt op een sms.
Renco:Die processen leveren geen voorspelbare uitkomsten op of je hebt ze überhaupt niet. Dan is dat eigenlijk omgekeerd even reden. Dus een lage Isms volwassenheid heeft een zorgt ervoor eigenlijk dat de de risicowaarde opgestuwd wordt zou je kunnen zeggen.
Kees:Ja, dat is dat is precies de gedachte. Ja. Dat is precies de gedachte. Alleen toen die klaar was toen kwamen er nog wat opmerkingen. Want dat ding is natuurlijk getoetst door allerlei overheidslagen.
Kees:En er zijn er ook al een aantal die hem echt heel veel gebruiken. Maar toen kwam een opmerking van ja, maar ik vind het nog iets te veel. Ik wil eigenlijk alleen nog het lijstje aflopen met de impact zeg maar. De wat gaat er nou gebeuren? Ben je nou weggevallen?
Kees:Kans op met Dat heb ik nog
Renco:nooit meegemaakt hier bij de BIO Bazen. Dat vind
Kees:ik te veel. Dus wat hebben we toen...
Renco:Helemaal weg is Kees.
Kees:Kees. Ja en nu ben ik er weer.
Renco:Zit op een crappy, WiFI-verbinding? Ja.
Kees:Ben jij?
Renco:Hallo. Ja, dit kan toch niet hè?
Kees:Wordt geroepen. Ik
Renco:ga even verder zonder Kees. Ik ga ervan uit dat Kees zo meteen weer zich meldt. Je kunt de baseline-toets dus vinden op de website bio streepje overheid punt n l.
Kees:Ja, klopt toch?
Renco:Dan download je een Excel-bestand met een aantal tabbladen waar je dus op het 1e tabblad invult. Op welke manier wil je de baseline toetsen gebruiken? Op de basis manier of op de volledige manier? Nogmaals als je de basis manier kiest dan fixeer je eigenlijk de kanscomponent en kijk je alleen naar impact. Doe je volledig, dan moet je ook zelf de kanscomponent schatten en kan je optioneel ook een schatting maken van je sms volwassenheid wat eigenlijk een soort ja, multiplier effect heeft.
Renco:Opwaarts dan wel neerwaarts. In ieder geval omgekeerd evenredig zoals ik net toelichtte. Ja, en dan kom je op het tabblad context. Hé Kees. Hé, je bent er weer.
Renco:Ik was maar even door gaan praten. Ik denk jij komt vanzelf weer terug.
Kees:Ja, ik was ook gaan doorpraten, maar nou dat ga je wel zien in het resultaat wat dat wordt en anders moet je maar wat gaan knippen en plakken. Maar ik ik zat midden in een zin en toen was je in 1 keer vertrokken.
Renco:Stond stil
Kees:een hele tijd.
Renco:Ik stond stil. Ja, ik zie dat ik Ja. Sta bij jou bovenin dat dat dat verbindingsicoontje zag ik al van groen naar rood gaan en toen daarna raakte ik je kwijt. Oké, maar ik had net, we hadden het over die 2 verschillende manieren zeg maar. De de de vereenvoudigde variant van hoe je hem kan gebruiken en de uitgebreide variant.
Renco:En jij was aan het vertellen dat er al een aantal overheidsorganisaties jouw baseline toets of de baseline toets van het CIP gebruikte en dat die nog wens hadden voor verdere uitbreiding of zoiets?
Kees:Nee, er kwam een, er kwamen wat opmerkingen over de de vooral de die kans kant en de IMS volwassenheid kant. En dat vond men te veel. Dus heb ik, wat heb ik gedaan? Die heb ik aangepast. Ik heb dus daarom de Baseline toets aangepast naar ik zeg als je de kans niet invult staat die op 3.
Kees:En als je volwassenheid niet invult staat die ook op 3. Daarmee beïnvloeden ze dus het eindresultaat niet.
Renco:Gewoon een neutrale positie eigenlijk.
Kees:Ja, exact. Maar als ik ze leeg laat dan krijg ik een heel groot probleem met formules. Dus ik denk ik ga het gewoon zo doen. Als je het niet invult dan is het een standaard waarde.
Renco:Ja, hé maar als ik dan, we komen zo nog wel even, ik zit ondertussen naar dat bestand te kijken. Dus ik wil zo nog even met je over die kansen praten. Maar als ik, ik heb van de week hier ook nagekeken. Ik was van de week trainingen aan het geven. Toen was dit ding net uit.
Renco:Dus ik dacht nou ik ga eens met mijn cursisten van een overheidsorganisatie, ik pak hem er eens bij en ik loods, ik loods al die iso's er eens even doorheen. Ik moet wel toegeven dat mensen wel een beetje met hun ogen zaten te klapperen over de hoeveelheid informatie die erin staat. Er staat gewoon veel in. En je moet echt even goed lezen hoe is dit instrument nu bedoeld en in welke volgorde loop ik er nou eigenlijk doorheen. Dacht zelf toen ik dat eenmaal gedaan had dacht ik ja, dat ding zit eigenlijk best wel logisch in elkaar.
Renco:Maar als je de oude baseline toetsen of de QIS gewend bent, dan is dit wel even andere koek. Dat vind ik wel.
Kees:Nou, ik moet zeggen de QIS aanpak was ook niet eenvoudig hoor. Dat was niet een spreadsheet, dat was een pdf. Ja, dat was waardeloos. Ja, dat was gewoon echt serieus zo werk. Om dan uiteindelijk op een BBN1 te komen waarbij je eigenlijk nog steeds niet voldoende doet, maar goed ander verhaal.
Kees:Dat is persoonlijke mening.
Renco:Maar ga even met me mee Kees. Want ik zit bij impact te kijken. Ik zit dus in die training. Ik loop door dat ding heen en mensen slaan steil achterover van al die impact categorieën, hè. Want het zijn 21 impact categorieën die je op een vijfpuntsschaal moet scoren, hè.
Renco:Dus per impact categorie je zegt bijvoorbeeld politieke schade. Dan is de vraag wat zijn de bestuurlijke en politieke gevolgen van op het gebied van persoonsgegevens? Maar dat is dus nee dat is nee sorry. Ik haal nu 2 dingen door elkaar. Politieke schade, wat zijn de bestuurlijke en politieke gevolgen?
Renco:Dan zeg ik waarvan als het risico zich voordoet neem ik aan dan.
Kees:Ja.
Renco:Hè, en dan kan ik aangeven zeer laag, geen politieke gevolgen tot en met zeer hoog catastrofale politieke gevolgen, ontslag of grote beleidscrisis. Nou, laat ik zeggen dat ik daar dan aangeef het is 4, ik noem maar wat. Zo loop ik al die 21 categorieën aan en toen kwam mijn teleurstelling Kees, ik zeg het maar toch even. Onderaan zie ik dan de impactscore. En die is zo kort door de bocht, hij pakt gewoon de hoogste.
Renco:Ja, dat vond ik toch vond ik toch een beetje ergerlijk. Dat ik dacht is dat niet te kort door de bocht?
Kees:Nee, was altijd al zo. Dat was met de vorige baselinetoets ook zo.
Renco:Ja, oké maar goed. Nu heb
Kees:je echt Ja, ja, ja, maar de hoogste score bepaalt het bepaalt het niveau. Je kunt niet voor lager gaan, je kunt ook niet voor gemiddeld gaan, dat gaat niet. Want als je hem namelijk voor gemiddeld gaat, dan is dus de uitkomst ook in 1 keer gemiddeld. Terwijl het het de impact nog steeds op een bepaald onderwerp hoog is. Dat gaat niet.
Renco:Ja, ik snap je dat je methodisch zegt dat kan niet. Want als je dan een heel hoog risico hebt, wat heel na kan zijn, dat middelt dan uit met een aantal lage impact categorieën. En dan zeg je onderaan de streep nou prima, ik hoef niks extra te doen. En dan mis je dat ene risico wat juist heel voor heel veel impact kan zorgen. Maar geef toe of nou ja, geef toe, hoe zie jij dat Kees dan?
Renco:Want 21, ja, klopt, 21 impact categorieën op een 5 plus schaal en dan pak je gewoon alleen de hoogste en dan als ik dan toch bezig ben wat ik dan verderop zie in het tabblad resultaat dan zie je dat die ook moet ik het even goed lezen hij pakt natuurlijk die maximale impactscore om ook de risicoscore te berekenen. Dus je gaat 21 impact categorieën langs, maar eigenlijk in de scoorscore pakt die alleen maar de hoogste eruit en die vermenigvuldigt die met de kans. Nogmaals, als je die fixeert op 3 heeft die geen invloed. En anders kun je hem hoger of lager maken. Toen dacht ik ja, dus eigenlijk ja, ik dacht het is een hoop werk en je gaat alleen aan de haal met die die hoogste.
Renco:Dat voelt toch wat onbevredigend.
Kees:Ja, nee kijk het is natuurlijk niet zo. Nee, ik moet even even doen even een zijstapje. Jij bent een consultant en jij voert bij klanten een risicoanalyses uit. Ja. En we doen het even op het onderwerp informatiebeveiliging.
Kees:Prima. Dan begin je eigenlijk vanuit een dreiging tabel te te beoordelen. Welke dreigingen zouden manifest kunnen worden voor jou binnen deze context? Ja. En dat zijn dan de dreigingen waar je op focust in je risicoanalyse.
Kees:Want een dreiging die manifest wordt, heeft een maatregel nodig. Dat geldt ook eigenlijk binnen de Baselinetoets. Op het moment dat jij de Baselinetoets opstart, hoef jij niet alle 19, 20, 21 regels te beantwoorden. Je kijkt jij vanuit jouw professie kijkt door je oogharen en je zegt ik denk dat ik deze vraag ga behandelen en ik denk dat ik deze vraag ga behandelen. Want ik denk dat dat relevante vragen zijn binnen deze context.
Kees:En dus je hoeft niet alle antwoorden te geven. Dat is 1. En het 2e is op het moment dat je aan het einde bent gekomen van van jouw baselinetoets stapjes. Dan heb je natuurlijk een bepaalde score gehaald. Maar dat dat is dat slaat nog steeds op wat je in het begin hebt ingevuld.
Kees:Nou kun je 2 dingen doen. Of je gaat heel blind een risicoanalyse uitvoeren. Dan ga je overigens nog steeds weer kijken naar welke dreigingen waren er. Want ook al heb je dan een impact gebruikt, het daar zitten natuurlijk dreigingen onder.
Renco:Nou ja, als je, als je boven die Baselinetoets uitkomt, dan moet je aanvullende maatregelen nemen en die moeten natuurlijk wel direct verband houden met die hoge dreiging dan. Anders heeft het geen zin.
Kees:Ja. Tuurlijk dat is ook de kern van wat we doen. Wat we altijd doen eigenlijk binnen ons vakgebied. We kijken naar wat is het grootste probleem? 80 20 regel.
Kees:En zeg maar dus je en dat zit ook in je Baselinettoets. Je bent die informatie van het begin niet kwijt en die kun je dus aan het einde nog steeds gewoon hergebruiken in het in in in in in het geval van een hele hoge score op 1 aspect. Kun je zeggen van nou ik doe toch een 1 risicoanalyse. Mhmm. En ik ga kijken welke maatregelen ik voor dit aspect extra nodig heb.
Renco:Ja, dus heel smal uit.
Kees:Ja, maar het kan. Dus het het is niet zo dat je dan een risicoanalyse doet en nog eens even naar alles gaat kijken. Nee, kunt nog steeds waarschijnlijk voor het grootste deel zeg maar gewoon uitgaan van de BIO plus je eigen maatregelen. En alleen je weet gewoon ik moet op dat aspect moet ik extra nadruk leggen, daar moeten we extra over nadenken en misschien is daar nog een extra mitigerende maatregel voor te bedenken. Of 2, of 3.
Renco:Ja, ik denk dat ik er gewoon aan moet wennen dat je voor als je hem presenteert hè, dat deed je zelf ook nee in het begin toen zei je de de baseline toets die doe je om te bepalen of het het niveau wat de BIO2-overheidsmaatregelen bieden aan beveiliging of dat voor jouw proces voor jouw specifieke proces of informatiesysteem toereikend is. Want ja, die verplichting heb je, want misschien moet je wel meer doen en dan moet je nog aanvullende maatregelen bedenken bovenop die baseline. Dus de output van dit instrument is is vrij basaal. Hij zegt eigenlijk doe de baseline of doe de baseline en een aanvullende risicoanalyse plus dan wat daar uitkomt. Dat dat is de uitkomst van dit instrument en als je hem dan dus zo openklapt en je denkt dan denk je man man man, wat een wat een bult werk voor zo'n eenvoudige vraag.
Kees:Ja, maar het geeft je wel heel veel context aan het einde op de weg die je verder moet doorlopen om risico's af te dekken die toch voor bepaalde schade kunnen zorgen.
Renco:Ja, kijk als je zegt er komt uit er moet een risicoanalyse worden gedaan, dan ben je maar wat blij dat je deze baseline toets al achter de rug hebt. Want die informatie die daar uitkomt is van onschatbare waarde voor alles wat er daar achteraan nog komt. Want eigenlijk heb je een heel deel van je risicoanalyse en je contextanalyse, dat heb je allemaal al gedaan. Dat is natuurlijk super. Mij gaat het erom dat ik weet uit ervaring dat voor heel veel processen en informatiesystemen het beveiligingsniveau wat de BIO 2 biedt ruimschoots of voldoende toereikend is.
Renco:En ook voor die processen en informatiesysteem loop ik die baseline toets door. En doe ik al dat werk, alleen heb ik niet die baten daarna. Want ik hoef geen risicoanalyse te doen, maar ik ben wel, er moet wel op de 21, ja, ik ben nu een beetje flauw, maar er moet nog wel 21 impact categorieën doorhakkeren. Ja.
Kees:Dus wat. En nu komt hier het 1e bezoek binnenlopen, dus eigenlijk moeten we het nu wel bijna af afkappen.
Renco:Ik word ingewisseld voor een paar kleinkinderen, hè. Zo is dit gewoon.
Kees:Ja, inderdaad.
Renco:Ja, maar ik denk ja, misschien dat jij dan tot slot nog met een aantal geruststellende woorden kan toespreken. Dat je zegt nou, Renco ook al komt daaruit je geen risicoanalyse hoeft te doen, dan nog is dit zeer zinvol beste de tijd.
Kees:Ja, dat is het. Want je kunt namelijk hiermee heel veel tijd besparen door aantoonbaar vast te leggen van de dingen sla je op. Dit is gewoon onderdeel van jouw dossier. En hiermee kun je aantonen dat jij een risicoafweging gedaan hebt om te bepalen of je meer nodig hebt dan de BIO.
Renco:Ja, nou ja, ik moet er denk ik nog gewoon even aan wennen dat het gewoon veel... Het lijkt het van... Vind jij dat, denk jij dat in de praktijk als je dit instrument toepast Kees, dat de hoeveelheid tijd die je eraan spendeert dat die vergelijkbaar is aan de tijd die je nodig had voor de baseline toets van de IBD voor de bio 1 punt 0 4. Is dat vergelijkbaar of denk je dat het meer tijd kost?
Kees:Ik denk dat het minder tijd kost. Minder?
Renco:Man hé je hebt wel ja, het is wel vrijdagmiddag. Gedurfde uitspraken en zo meteen log je uit. Nou, ik denk dat het gewoon vooral misschien aan mijn kant een beetje koudwater vreest. Dus ik moet het denk ik gewoon maar eens gaan proberen. En als je rijksoverheid bent dan mag je niet alleen alle 21 impact categorieën doen, maar dan mag je ook nog alles rondom die TBB's doen.
Renco:Dan val je dubbel in de prijzen.
Kees:Ja, maar die hebben ook maar een paar processen joh, kom. Dit is mijn. Ze moeten eens bij een gemeente gaan werken. Ja, daar komen ze wel achter.
Renco:Oké, dus als ik weer iemand bij de Rijksoverheid waar ik nu werk hoor klagen, dan kan ik zeggen joh, stel je die zo aan, ga eens bij gemeente werken. Ja. Hé Kees, dankjewel voor deze toelichting over waarom dit ding in in elkaar steekt zoals die in elkaar steekt. Mensen kunnen hem nu gaan gebruiken. Ik nou ik hoop eigenlijk dat luisteraars misschien na verloop van tijd eens aan ons willen laten weten hoe bevalt dat ding nou?
Renco:Dan kunnen we er op een later moment misschien nog eens een keer een 2e aflevering aan wijden.
Kees:Ja, ja, dat is helemaal goed.
Renco:Goed, dan wens ik jou eet smakelijk met de pastasaus en dan zien we elkaar weer over 2 weken. Hé, goed weekend.
Kees:Dank voor het luisteren naar de BIO Bazen.
Renco:Vond je dit waardevol? Vertel het aan een collega en abonneer je in je favoriete podcast app.
Kees:Alle afleveringen vind je ook op de biobazen punt n l.
Renco:Tot de volgende aflevering van de BIO Bazen.
Kees:Iemand moet het uitleggen toch?