Ha Denii,

Brand en waterschade en alle overige vormen van "rampen" vallen onder business continuiteit. Kijk hiervoor bij Annex A §17.
Let wel op: Business continuity managmeent en informatiebeveiliging zijn verschillende gebieden.
De ISO vraagt naar informatiecontuiteit, business continuiteit vraagt naar continuiteit van je gehele onderneming.
Als je dus wilt motiveren waarom een bepaalde maatregel van toepassing is om risico X te mitigeren, hou dan dit verschil goed in de gaten.

Ik gebruik zelf Ravib.nl voor risicoanalyses voor de organisatie op een generiek niveau, best een leuke tool.

Succes!

@Anoniem

Helemaal gelijk. Bedankt!

Ravib is voor mij geen optie omdat er alleen online gewerkt kan worden. Niet alleen onpraktisch, maar ook minder veilig.

Wellicht dat deze website je verder helpt: https://www.ravib.nl/. Met name de pagina over koppelingen (https://www.ravib.nl/koppelingen) bevat voor jou nuttige informatie.

Niet helemaal waar. Zie https://www.ravib.nl/broncode En minder veilig? Ach, waarom ravib niet vertrouwen, maar andere webdiensten wel? Voor meer info, zie https://www.ravib.nl/verklaring

Bedankt voor de aanvulling. In de tijd dat ik Ravib gebruikte en om een lokale variant vroeg kreeg ik te horen dat dit geen optie was (ook begrijpelijk). Nu is het weer een serieuze optie. Het heeft overigens weinig met vertrouwen inde bekwaamheid van Hugo te maken, ik wil een RA gewoon niet online hebben.

Of dat verschillende gebieden zijn, hangt sterk af van het soort organisatie waar je met BCM (Business Continuity Management) en/of IB (InformatieBeveiliging) bezig bent. Voor een chemische fabriek bijvoorbeeld is er een duidelijk verschil tussen beide gebeiden, maar voor een ICT bedrijf is dat onderscheid veel kleiner (tot niet aanwezig). Immers, als het pand van een ICT bedrijf afbrandt of er ontstaat waterschade in de serverruimte, dan betekent dit in de praktijk dat lokale informatievoorzieningen niet meer beschikbaar zijn, en niemand de telefoon kan opnemen.

Zelf heb ik veel plezier van de ISO27002:2013, die bevat dezelfde informatie als de Annex van ISO 27001:2013, echter aangevuld met veel sprekende voorbeelden van te nemen maatregelen (een checklist kun je het nog steeds niet noemen, maar het biedt zeker handvatten). De tijd die ik daarmee al bespaard heb gaat de kostprijs ruim te boven.

Nb. we hebben de Engelstalige 27001 en de Nederlandstalige 27002 aangeschaft. De 27001 omdat de meeste informatie op Internet in het Engels is (dus met Googlen makkelijker te vinden). Met die combinatie heb je meteen de "juiste" (in elk geval conform ISO) vertalingen tussen de Annex titels uit 27001 en de bijbehorende hoofdstuktitels in 27001.

Maar je e-mail, bankzaken en belastingaangifte mogen wel online? Ik begrijp je punt wel, maar als je eerlijk bent, dan is het meer een gevoelskwestie dan een van logische redenering.