[N]iet alle kennis is van een gelijk niveau. Een voorbeeld: weten dat Leiden in 1574 is bevrijd van de Spanjaarden, is van een ander niveau dan verklaren hoe het komt dat Leiden in 1574 is bevrijd van de Spanjaarden, en tot welke merkbare gevolgen dit onder meer voor de stad Leiden heeft geleid. Kennisniveaus hebben ook invloed op de wijze waarop we de informatie in de kennisbank opnemen. Feiten kunnen we vrij eenvoudig als losstaande elementen opnemen. Om inzicht te genereren, moeten we ze dusdanig ordenen dat de betekenis duidelijk wordt. Verbanden tussen informatie kunnen we visualiseren, maar we kunnen ook links aanbrengen of informatie bij elkaar zetten die een onderlinge relatie vertoont. Tot slot kunnen we reliëf aanbrengen door de ene informatie meer te benadrukken dan de andere.

Een methode om deze niveaus in kaart te brengen, is het gebruik van zogenaamde taxonomieën. Een taxonomie (taxis [= ordening] en nomos [= wet]) is een wetmatige ordening, een structurering gebaseerd op een theoretische (en voor zover mogelijk ook empirische) basis .... Taxonomieën zijn ontwikkeld op verschillende terreinen: psychomotoriek (onder andere Simpson, 1967), gedrag (Gagné, & Briggs, 1974), combinaties van inhoudsniveaus, gedragsniveaus en transferniveaus (De Block, 1982), en op het terrein van de cognitie (Bloom, 1956 en Romiszowski, 1981). [De taxonomie van Bloom heeft] betrekking op de cognitie, het weten en de kennis.

Bloom ontwikkelde in de vijftiger jaren een cognitieve taxonomie .... Bloom beschrijft zes opeenvolgende kennisniveaus, waarbij hij veronderstelt dat elk niveau beheerst moet worden voordat iemand op een hoger niveau kan ‘acteren’:

1. Kennis.

2. Begrijpen.

3. Toepassen.

4. Analyseren.

5. Synthetiseren.

6. Evalueren.

Bron: Kennis van kennisbanken, Open Universiteit

Bij het beveiligen van de informatievoorziening spelen de begrippen bedreiging, kwetsbaarheid en risico een belangrijke rol.

(A) Bedreiging
Een bedreiging is een proces of een gebeurtenis die in potentie een verstorende invloed heeft op de betrouwbaarheid van een object. In het kader van de informatievoorziening betreft het dan objecten van de informatievoorziening: apparatuur, programmatuur, gegevens, procedures en mensen.

Bedreigingen kunnen worden onderverdeeld naar de drie aspecten van betrouwbaarheid die ze negatief kunnen beïnvloeden: beschikbaarheid, integriteit en vertrouwelijkheid.

1. Beschikbaarheid (B): mate waarin gegevens of functionaliteit op de juiste momenten beschikbaar zijn voor gebruikers.

2. Integriteit (I): mate waarin gegevens of functionaliteit juist ingevuld zijn.

3. Vertrouwelijkheid (V): mate waarin de toegang tot gegevens of functionaliteit beperkt is tot degenen die daartoe bevoegd zijn.

(B) Kwetsbaarheid
De kwetsbaarheid van een object ten aanzien van een bedreiging, is de mate waarin het betreffende object gevoelig is voor de betreffende bedreiging. Deze gevoeligheid ontstaat doordat één of meer karakteristieken van het object het mogelijk maken dat de bedreiging een negatieve invloed uit kan oefenen op het object. Het begrip kwetsbaarheid is altijd gerelateerd aan enerzijds één of meer objecten en anderzijds één of meer bedreigingen. Zo kan men bijvoorbeeld de kwetsbaarheid onderzoeken van ‘de computerruimte’ (verzameling objecten) voor ‘brand’ (bedreiging).

(C) Risico’s
Een risico is een gemiddelde schade over een gegeven tijdsperiode, die verwacht wordt doordat één of meer bedreigingen leiden to een verstoring van één of meer objecten van de informatievoorziening. Risico is te beschouwen als kans op schade x schade, oftewel de schadeverwachting over een gegeven tijdsperiode. Bij schade kan sprake zijn van directe schade (schade aan rechtstreeks getroffenen, zoals personen, apparatuur, programmatuur, gegevensverzamelingen en gebouwen) of indirecte schade, oftewel gevolgschade, zoals verstoring van bedrijfsprocessen, het overtreden van wetten, verlies van opdrachten en imagoschade. Een risico heeft altijd betrekking op één of meer objecten, en één of meer bedreigingen waarvoor de desbetreffende objecten een zekere kwetsbaarheid hebben.

Door het treffen van beveiligingsmaatregelen is het mogelijk om de gelopen risico’s te verkleinen. Dit kan enerzijds gerealiseerd worden doordat de maatregelen de kans verlagen dat de betreffende bedreigingen zich manifesteren, en anderzijds doordat de kwetsbaarheid van de betreffende objecten verkleind wordt. In beide gevallen wordt de schadeverwachting kleiner.

Een risicoanalyse leert tegen welke bedreigingen beveiligingsmaatregelen getroffen moeten worden. Beveiligingsmaatregelen zijn gericht op een bepaald moment van de incidentcyclus (event cycle):

In de incidentcyclus worden achtereenvolgens vier stappen onderscheiden.

1. Bedreiging: iets dat zou kunnen gebeuren.

2. Verstoring: bedreiging wordt verwezenlijkt, oftewel een beveiligingsincident verstoort de informatievoorziening.

3. Schade: een incident veroorzaakt mogelijk schade aan informatie of aan middelen.

4. Herstel: herstellen van de veroorzaakte schade.

Aan al de stappen van de incidentcyclus kan aandacht worden besteed met passende beveiligingsmaatregelen. Er kan dan ook parallel aan de incidentcyclus een beveiligingscyclus onderkend worden, die achtereenvolgens vier fasen doorloopt: preventie, detectie, repressie en correctie. Analoog aan de beveiligingscyclus kunnen vier soorten beveiligingsmaatregelen worden onderkend:

1. Preventieve maatregelen: maatregelen die tot doel hebben te voorkomen dat bedreigingen leiden tot een verstoring (bijv. onbrandbare vloerbedekking).

2. Repressieve maatregelen: maatregelen die tot doel hebben de negatieve invloed van een verstoring te minimaliseren (bijv. het implementeren van uitwijk, afsluiten onderhoudscontract met vastgestelde oplostermijn, compartimenteren van een netwerk).

3. Detectieve maatregelen: maatregelen die losstaand niet werkzaam zijn, maar wel effectief zijn in combinatie met getriggerd-preventieve of repressieve maatregelen (bijv. virusscanners, rookdetectoren, intrusion-detectie).

4. Correctieve maatregelen: maatregelen die gericht zijn op het herstellen van objecten die bij een incident beschadigd zijn.

Naast de indeling op basis van de beveiligingscyclus, kunnen beveiligingsmaatregelen ook ingedeeld worden naar de wijze waarop ze gerealiseerd worden:

1. Organisatorische maatregelen: maatregelen die betrekking hebben op de organisatie als geheel (bijv. het formuleren van beveiligingsbeleid, richtlijnen en procedures)

2. Logische maatregelen: maatregelen die geprogrammeerd zijn in programmatuur (bijv. login/wachtwoordauthenticatie in besturingssystemen, encryptie, digitale handtekening in electronische post).

3. Fysieke maatregelen: maatregelen die gebaseerd zijn op apparatuur of andere materiële zaken (bijv. brandblussers, noodstroomvoorzieningen, sloten).

Op basis van een risicoanalyse kan worden afgewogen óf en zo ja, welke maatregelen getroffen worden om risico's te verminderen. Hierbij zijn vier strategieën mogelijk:

1. Verminderen van risico's: treffen van maatregelen om het optreden van bepaalde bedreigingen te verminderen (preventie) of de mogelijke gevolgen daarvan te beperken (repressie).

2. Vermijden van risico's: zodanig inrichten van een bedrijfsproces dat het risico niet kan voorkomen (incl. beëindigen van activiteiten).

3. Overdragen van risico's: het aan een andere partij overdragen van de gevolgen bij het optreden van een bepaalde bedreiging.

4. Accepteren van risico's: het achterwege laten van (nog meer) maatregelen om het optreden van dreigingen te voorkomen of de gevolgen te beperken.

Bron: Informatiebeveiliging onder controle, Paul Overbeek, Edo Roos Lindgreen & Marcel Spruit