Veel bedrijven blijven hun technologische risico’s beoordelen met labels zoals hoog, gemiddeld of laag. Hoewel deze aanpak handig is voor het classificeren van bedreigingen, is ze veel minder effectief wanneer een CIO of CISO een investering van enkele honderdduizenden euro’s moet rechtvaardigen voor het management. Een nieuwe analyse van Info-Tech Research Group pleit voor een vooruitgang: het vertalen van de belangrijkste risico’s naar geschatte economische verliezen, frequentie en jaarlijkse blootstelling.
De kern van de financiële risico-evaluatie in 20 seconden
- Info-Tech stelt de traditionele risico-matrix die alleen op hoog, gemiddeld of laag is gebaseerd ter discussie.
- Het stelt voor om prioritaire risico’s economisch te kwantificeren, niet noodzakelijk alle bedreigingen.
- De analyse combineert de impact van een verlies, de geschatte frequentie en de verwachte jaarlijkse verlies.
- NIST erkent ook dat kwantitatieve methoden de prioritering kunnen verbeteren en onderbouwde behandelopties aan het management kunnen voorleggen.
- Het doel is om de kosten van risicoreductie te vergelijken met de economische blootstelling die het daadwerkelijk vertegenwoordigt.
De voorgestelde aanpak komt op een moment dat technologiemanagers verschillende soorten risico’s moeten toelichten binnen één begrotingsgesprek. Een ransomware-aanval, een datacenter-uitval, een kritieke afhankelijkheid van een cloudprovider, datalekken of een regelgevende boete kunnen allemaal rood worden gemarkeerd op een matrix. Maar dat betekent niet automatisch dat ze prioriteit moeten krijgen bij de beschikbare budgetten.
Dit is het probleem dat Info-Tech probeert op te lossen met haar methode Execute Data-Driven Risk Assessments. Het bedrijf stelt niet voor om kwalitatieve beoordelingen volledig overboord te gooien, maar ze te gebruiken als eerste filter en het economische analysegedeelte achter te houden voor de risico’s die dat echt rechtvaardigen.
Het probleem met eenvoudigweg zeggen dat een risico ‘hoog’ is
Risicomatrices hebben een duidelijk voordeel: ze maken het mogelijk snel probabiliteit en impact te beoordelen en de resultaten begrijpelijk te presenteren.
Maar ze hebben ook beperkingen.
Een cyberaanval die als ‘hoog’ wordt beoordeeld, kan de aandacht trekken, maar zegt weinig over de daadwerkelijke prioriteit bij grote investeringen, zoals 300.000 euro voor beveiligingsverbeteringen, een upgrade van een cruciaal platform, of financiering van een ander bedrijfsproject.
Daarnaast identificeert Info-Tech problemen zoals de subjectiviteit van scores, data-dispersie tussen afdelingen en de moeilijkheid om te blijven werken met overdadig complexe kwantitatieve modellen.
Een alternatief is niet simpelweg om ‘hoog’ te vervangen door een score zoals 8 op 10. Een ordeningschaal blijven een classificatie, ook al gebruikt deze cijfers.
Het National Institute of Standards and Technology (NIST) onderscheidt precies tussen kwalitatieve en kwantitatieve analyses. In hun revisie uit december 2025 over cybersecurity-integratie en risicobeheer stelt men dat kwantitatieve methoden probabiliteiten en monetaire waarderingen van verliezen kunnen gebruiken, wat meer onderbouwde prioriteiten oplevert. Ze waarschuwen wel dat de kwaliteit ervan afhangt van de gebruikte data en modellen.
Het nuancepunt is belangrijk: een risico een monetair bedrag toekennen maakt de schatting niet automatisch zeker.
Risico’s blijven betrekking hebben op toekomstige gebeurtenissen en bevatten dus onzekerheid.
Van een risicosemafoor naar berekenen wat de organisatie kan verliezen
Info-Tech stelt een proces voor in vier fasen.
Allereerst wordt de risico-register opgebouwd of herzien, met behulp van een gemeenschappelijke taxonomie. Daarna volgt een kwalitatieve beoordeling van de waarschijnlijkheid en impact, waarmee prioritaire risico’s van de risico’s die geen uitgebreide economische analyse nodig hebben, worden onderscheiden.
Het derde stuk is waar de conversatie verandert.
De methode stelt voor om drie elementen te schatten: Single Loss Impact (SLI), oftewel de impact van één enkel verlies; Occurrence Frequency (OF), de frequentie waarmee dat verlies kan optreden; en Annualized Loss Expectancy (ALE), de geschatte jaarlijkse te verwachten verlies.
Een vereenvoudigd voorbeeld verduidelijkt dit.
Een organisatie zou kunnen analyseren wat een onderbreking van een bepaalde dienst kost, door rekening te houden met verlies van activiteit, herstelkosten, personeelskosten, contractuele verplichtingen en andere gerechtvaardigde kosten. Vervolgens wordt de frequentie van zo’n scenario geschat.
Het resultaat is niet meer slechts:
“Risico op niet-beschikbaarheid: hoog”.
Het kan worden omgevormd tot een economische schatting, uitgedrukt via scenario’s of bandbreedtes. Daardoor ontstaat een veel nuttigere vraag voor het bedrijf: hoeveel kost het om de blootstelling te verminderen en welk resterend risico is er nog?
Tot slot stelt Info-Tech voor om deze resultaten te delen met bedrijfsverantwoordelijken en het management, zodat beslissingen kunnen worden genomen over vervolgstappen.
Deze aanpak vertoont gelijkenissen met FAIR (Factor Analysis of Information Risk), een kwantitatief model dat risico’s analyseert op basis van frequentie en waarschijnlijkheidsmaat voor verlies, en dat expliciet stelt dat onzekerheid een rol moet spelen – bijvoorbeeld via bandbreedtes of verdelingen in plaats van een enkele cijfermatige voorspelling.
Een hulpmiddel om te beslissen waar te investeren, niet om de toekomst te voorspellen
Het grote voordeel van deze aanpak ontstaat bij het vergelijken van alternatieven.
Stel dat een organisatie twee ‘hoog’ geclassificeerde risico’s identificeert: een langdurige uitval van een interne applicatie en een ransomware-incident.
De traditionele matrix ziet ze mogelijk op hetzelfde niveau. De financiële analyse probeert dan vragen te beantwoorden zoals: wat zou elk scenario kosten, hoe vaak kunnen ze zich voordoen, hoeveel kan worden verminderd met een maatregel, en wat kost die?
Hierdoor kan worden vergeleken investeringen in back-ups, herstelplannen, redundantie, beveiliging, continuïteit, training of infrastructuur, met een taal die meer aansluit bij de financiële afdeling.
Daarnaast helpt het voorkomen dat er te veel wordt uitgegeven aan een bedreiging met een geringe economische impact, terwijl andere risico’s minder zichtbaar zijn maar mogelijk wel grotere kosten veroorzaken.
Quantificatie betekent trouwens niet dat je geen professioneel oordeel meer nodig hebt.
NIST herinnert eraan dat kwantitatieve methoden betrouwbare data vereisen, en dat dat niet altijd mogelijk is. Ook bij incomplete data kan het structureren van het analyseproces helpen om de variabelen beter te begrijpen, maar het eindresultaat blijft onzeker.
Daarom is het logischer om met bandbreedtes en probabiliteiten te werken, in plaats van bijvoorbeeld te beweren dat een bepaald incident precies 2.473.621 euro kost.
FAIR volgt dezelfde filosofie: risico’s worden gedefinieerd op basis van de waarschijnlijkheid en omvang van toekomstige verliezen, en expliciete weergave van onzekerheid wordt aangeraden.
Voor CIO’s en CISOs betekent dat dat budgetgesprekken kunnen verschuiven van “het moet gebeuren omdat het risico rood is” naar “wat is de geschatte blootstelling, welke factoren beïnvloeden die, hoe kunnen investeringen die verminderen, en welk resterend risico accepteert de organisatie?”
Info-Tech ondersteunt haar methode met hulpmiddelen om risico-evaluaties op te bouwen en de resultaten te presenteren aan belanghebbenden. Het biedt bovendien niet de verplichting om meteen elke bedreiging kwantitatief te modelleren, maar adviseert eerst kwalitatieve analyses uit te voeren om te bepalen waar de meeste aandacht nodig is.
Deze hybride aanpak is waarschijnlijk een van de meest praktische aspecten. Kleurgecodeerde matrices blijven handig om tientallen of honderden risico’s te ordenen. Probleem ontstaat wanneer hetzelfde semaforensysteem ook gebruikt wordt voor investeringsbeslissingen.
Veelgestelde vragen
Wat is een kwantitatieve risico-evaluatie voor IT?
Het is een analyse die probeert de blootstelling uit te drukken in meetbare variabelen, zoals de waarschijnlijkheid van voorkomen en de economische impact, in plaats van alleen categorieën zoals hoog, gemiddeld of laag risico.
Moet je alle risico’s binnen een organisatie kwantitatief berekenen?
Niet per se. De aanpak van Info-Tech stelt voor eerst kwalitatief te beoordelen en vervolgens diepgaand te kwantificeren voor de belangrijkste risico’s.
Wat betekent ALE in risicomanagement?
Annualized Loss Expectancy ofwel de geschatte jaarlijkse verwachte verlies. Het geeft de economische verwachting weer van het risico over een jaar.
Zijn risico’s geclassificeerd als ‘hoog’, ‘laag’ en ‘midden’ niet meer nuttig?
Ze blijven nuttig voor snelle classificatie en eerste prioritering. Echter, bij het onderbouwen van investeringen of het vergelijken van verschillende risicoreductie-opties, kunnen deze categorieën te beperkt zijn.
vía: prnewswire