Onder toenemende druk van toezichthouders (DORA, NIS2) en raden van bestuur moeten security- en risicoteams hun prioriteiten verantwoorden met erkende methoden. Twee benaderingen domineren: FAIR, een Amerikaanse kwantitatieve methode die door The Open Group is gestandaardiseerd, en ISO 27005, een kwalitatieve methode die verankerd is in de ISO 27000-familie. Hoe kiest u? En vooral: moet u wel echt kiezen?
Wat is FAIR?
FAIR (Factor Analysis of Information Risk) is een kwantitatieve methode die gepubliceerd is als Open Group-standaard (O-RT en O-RA). Ze splitst risico op in twee hoofdcomponenten: de frequentie van verliesgebeurtenissen (LEF) en de omvang van het verlies (LM). Elke component wordt verder verfijnd met subfactoren: frequentie van dreigingsgebeurtenissen, kwetsbaarheid, primaire verliezen, secundaire verliezen.
FAIR drukt risico uit in geldbedragen, met statistische verdelingen (vaak gesimuleerd met Monte Carlo over 10.000 tot 100.000 iteraties) die jaarlijkse verliesoverschrijdingscurves (LEC) opleveren. Bijvoorbeeld: "Er is 10% kans dat dit risico over een jaar meer dan €2,4M kost, met een mediaanwaarde van €800k."
Wat is ISO 27005?
ISO 27005:2022 is de risicobeheermethode die bij ISO 27001 hoort. Ze volgt de cyclus van identificatie, analyse, evaluatie en behandeling van risico's. Traditioneel is ze kwalitatief en werkt ze met schalen (laag, gemiddeld, hoog, kritiek) en matrices van waarschijnlijkheid × impact.
De versie van 2022 introduceert meer volwassen concepten: risicoscenario's op basis van dreigingsbronnen, primaire en ondersteunende assets, expliciete risicocriteria. ISO 27005 wordt in veel Franse contexten gecombineerd met EBIOS Risk Manager (ANSSI).
Gedetailleerde vergelijking
| Criterium | FAIR | ISO 27005 |
|---|---|---|
| Aard | Kwantitatief (€/$) | Kwalitatief / semikwantitatief |
| Oorsprong | Open Group, 2005 | ISO/IEC, 2008 (v2022) |
| Meeteenheid | Geannualiseerde verliezen, verdelingen | Risiconiveaus |
| Doelpubliek | Raad van bestuur, CFO, CISO | CISO, audit, certificering |
| Instapinspanning | Hoog (data, kalibratie) | Matig |
| Leercurve | Steil (statistiek, Monte Carlo) | Geleidelijk |
| Erkenning door regelgeving | Sterk in de VS, groeiend in de EU | Native ISO 27001, NIS2 |
| Tooling | RiskLens, FAIR-U, spreadsheets | Talrijk, waaronder EBIOS RM |
| Vergelijkbaarheid tussen bedrijven | Hoog (€/$) | Laag (subjectieve schalen) |
En EBIOS RM? EBIOS RM vs FAIR
EBIOS Risk Manager (ANSSI, 2018) is de Franse methode voor de beoordeling van digitale risico's. Ze is compatibel met ISO 27005 en vertrekt van de risicobronnen en het ecosysteem (stakeholders) om in 5 workshops eerst strategische en daarna operationele scenario's op te bouwen. FAIR daarentegen plakt een financieel verliescijfer op een scenario dat al geïdentificeerd is.
| Criterium | EBIOS RM | FAIR |
|---|---|---|
| Beantwoorde vraag | Welke aanvalsscenario's bedreigen onze bedrijfsassets? | Hoeveel kan dit scenario ons per jaar kosten? |
| Aanpak | 5 workshops: scope en basis, risicobronnen, strategische scenario's, operationele scenario's, risicobehandeling | Frequentie van verliesgebeurtenissen × omvang van het verlies, Monte Carlo-simulatie |
| Resultaat | Risicokaart, ernst en waarschijnlijkheid op kwalitatieve schalen | Geannualiseerde verliesverdeling (€) |
| Sterkte | Gerichte dreigingen, ecosysteem en toeleveringsketen | Budgettaire afwegingen, taal van de raad van bestuur |
| Typische context | Franse publieke sector, operatoren van vitaal belang, Franse NIS2-entiteiten | Grote ondernemingen, financiële sector (DORA), cyberverzekering |
De twee laten zich goed combineren: EBIOS RM identificeert en prioriteert operationele scenario's (workshop 4), en FAIR kwantificeert de paar scenario's die het zwaarst doorwegen om workshop 5 (risicobehandeling) te onderbouwen.
Sterke punten en beperkingen van FAIR
Sterke punten:
- Vertaalt risico naar bedrijfstaal (euro, dollar)
- Maakt een rendementsanalyse (ROI) van beheersmaatregelen mogelijk
- Compatibel met geavanceerde statistische modellering (lognormale, PERT-, bootstrapverdelingen)
- Brengt security, financiën en topmanagement op één lijn met een gemeenschappelijk vocabularium
Beperkingen:
- Vereist historische gegevens en kalibratie door experts
- Risico op "schijnprecisie" als aannames niet in vraag worden gesteld
- Minder geschikt voor zeldzame en catastrofale risico's (black swans)
- Vereist een degelijke opleiding (Open FAIR-, FAIR Institute-certificeringen)
Sterke punten en beperkingen van ISO 27005
Sterke punten:
- Massaal toegepast, erkend binnen ISO 27001-certificeringen
- Natuurlijke integratie met het ISMS en het beveiligingsbeleid
- Dekt de volledige cyclus (van identificatie tot verbetering)
- Lagere initiële implementatiekost
Beperkingen:
- Subjectieve schalen (wat als "hoog" geldt, verschilt per beoordelaar)
- Moeilijk om risico's van verschillende aard te aggregeren en te vergelijken
- Weinig geschikt voor verfijnde budgettaire afwegingen
- Neiging tot bureaucratisering bij gebrekkige tooling
Hoe kiezen
De keuze hangt af van het doelpubliek en het maturiteitsniveau:
- Start-up of kmo die met een ISMS begint: ISO 27005 is toegankelijker en sluit aan bij de ISO 27001-certificering
- Grote onderneming die onder DORA valt: FAIR levert de financiële kwantificering die toezichthouders en raden van bestuur verwachten
- Publieke sector: EBIOS RM (afgestemd op ISO 27005) blijft de referentie van ANSSI
- Organisatie waarvan de CISO rapporteert aan de CFO: FAIR creëert een gemeenschappelijke taal
- ISO 27001/22301-certificeringsproject: ISO 27005 is onvermijdelijk
De hybride aanpak: het beste van twee werelden
In de praktijk combineren volwassen organisaties beide methoden. ISO 27005 structureert het globale proces (exhaustieve identificatie, mapping van assets, behandeling), terwijl FAIR wordt toegepast op de 20 tot 50 toprisico's waarin de financiële blootstelling geconcentreerd zit. Zo stelt deze aanpak zowel de ISO-auditors als de financiële directie tevreden.
Meer weten
ResiPlan ondersteunt standaard 28 risicomethodologieën, waaronder ISO 27005, ISO 31000, EBIOS RM, FAIR met een geïntegreerde Monte Carlo-engine, Bow-Tie en foutenbomen. Teams kunnen hetzelfde scenario kwalitatief en kwantitatief modelleren en zo zowel de risicomatrix voor de ISO-audit als de geannualiseerde verliescurve voor de raad van bestuur opleveren.
- Risk Manager-oplossing (28 methodologieën)
- EBIOS RM: volledige gids voor de 5 workshops
- Oplossing voor CISO en operationele weerbaarheid
- Prijzen en demo
Bronnen: Open Group Standard O-RT/O-RA, ISO/IEC 27005:2022, EBIOS Risk Manager (ANSSI 2018), FAIR Institute benchmarks 2025.