Normity

Een dreigingsmodel is een gestructureerde aanpak om alle relevante dreigingen voor informatie, systemen of activiteiten systematisch in kaart te brengen. Door vanuit vaste categorieën te werken voorkom je dat je dreigingen over het hoofd ziet. In Nederland worden modellen als MaPGooD en RAVIB veel gebruikt in risicoanalyses voor ISO 27001, BIO en NEN 7510.

Bekende dreigingsmodellen zijn MaPGooD (menselijk, apparatuur, programmatuur, gegevens, organisatie, diensten), RAVIB (Risico-analyse voor Informatiebeveiliging), STRIDE van Microsoft, PASTA, MITRE ATT&CK en de Cyber Kill Chain. De keuze hangt af van het doel: algemene risicoanalyse, security-by-design of detectie-engineering.

MaPGooD is Nederlands, generiek en gericht op brede risicoanalyse over zes categorieën (menselijk, apparatuur, programmatuur, gegevens, organisatie, diensten). STRIDE is Amerikaans (Microsoft), technischer en gericht op softwarearchitectuur. MaPGooD werkt beter voor ISMS-brede analyses; STRIDE voor concrete software­ontwerpen.

Een dreigings­analyse identificeert wát er mis kan gaan (wie, wat, hoe). Een risicoanalyse gaat verder: hoe waarschijnlijk is het en hoe groot is de impact? Dreigingen zijn de input, risico's zijn de uitkomst. Een dreigingsmodel zorgt dat je geen categorieën vergeet; de risicoanalyse bepaalt de prioriteit.

MITRE ATT&CK is een open kennisbank van aanvalstechnieken, georganiseerd naar fase van een aanval (initial access, execution, persistence, enzovoort). Cybersecurity-teams gebruiken ATT&CK om detectie te evalueren, incidenten te analyseren en purple teaming uit te voeren. Het is geen dreigingsmodel in strikte zin, maar een tactiek-bibliotheek.

ISO 27001 eist geen specifiek dreigingsmodel, maar wel een risicobeoordeling. Je bent vrij in de keuze van methodiek — MaPGooD, RAVIB, STRIDE of een eigen aanpak. Wat telt: de methode is gedocumenteerd, reproduceerbaar en dekt alle relevante bedreigingen. Dreigingsmodellen zijn een hulpmiddel, geen verplichte stap.

Dreigingen veranderen — een model van drie jaar oud is gedateerd. Herijk dreigings­analyses minimaal jaarlijks, en zeker bij grote wijzigingen (nieuwe systemen, nieuwe dreigingen uit het nieuws, incidenten, NIS2-eisen). Koppel dreigingsmodellering aan de PDCA-cyclus van je ISMS, niet aan een eenmalig project.

Threat intelligence is actuele informatie over dreigingen, aanvallers en kwetsbaarheden uit externe bronnen (CERT, ISAC's, commerciële feeds). Dreigingsmodellen zijn statischer (wat kán er misgaan?); threat intelligence is dynamischer (wat gebeurt er nu in de wereld?). Een volwassen organisatie combineert beide in haar risicomanagement.