# Middelbeoordeling uitvoeren

> Beoordeel een middel op vertrouwelijkheid, integriteit en beschikbaarheid met een business impact analyse, en stel RTO en RPO in. Tidal maakt er een rating van.

Source: https://tidalcontrol.com/nl/docs/assets/assessing-assets

Een middelbeoordeling scoort één middel op vertrouwelijkheid, integriteit en beschikbaarheid, en legt optioneel vast hoe snel hij na een storing terug moet zijn. Tidal maakt van die scores de impact-rating van het middel, en die bepaalt weer de risicobeoordelingen en de maatregelen die je erop toepast.

## Middelbeoordeling openen

Je vult de beoordeling in op het middel zelf, in het tabblad **Beoordeling**.

### Navigeren naar de beoordeling

1. **Ga naar de Middelen pagina** via het hoofdmenu
2. **Klik op een middel** om de details te openen
3. **Selecteer het "Beoordeling" tabblad** 
4. **Vul de CIA-triad in** en de rating zal automatisch ingesteld worden
5. **Vul optioneel ook de herstelmetrieken in** om deze vereisten ook kenbaar te maken  

![Middelbeoordeling uitvoeren](/images/help/assets_assessment.png)

### Wat zie je in het tabblad Beoordeling

Het tabblad Beoordeling toont:
- **Impact categorieën** - CIA-triad beoordelingen (Confidentiality, Integrity, Availability)
- **Algehele impactbeoordeling** - Automatisch berekend op basis van hoogste individuele score
- **Herstelmetrieken** - RTO, RPO, MAO en MASL instellingen

## Business Impact Analyse (CIA-triad)

Scoor het middel op elk van de drie criteria. Tidal neemt de hoogste van de drie als de totale impact van het middel.

### Vertrouwelijkheid (Confidentiality) beoordelen

Evalueer hoe gevoelig de informatie is die dit middel bevat of verwerkt:

**1. Openbaar**
- Informatie die vrij gedeeld kan worden
- *Bijvoorbeeld: bedrijfswebsite, publieke documenten*

**2. Intern**  
- Interne informatie zonder grote gevolgen bij lekkage
- *Bijvoorbeeld: vergadernotities, algemene procedures*

**3. Vertrouwelijk**
- Gevoelige bedrijfsinformatie met mogelijk concurrentievoordeel
- *Bijvoorbeeld: strategische plannen, klantgegevens*

**4. Strikt vertrouwelijk**
- Zeer gevoelige informatie met ernstige gevolgen bij lekkage
- *Bijvoorbeeld: persoonlijke gegevens, financiële gegevens, juridische documenten*

### Integriteit (Integrity) beoordelen

Bepaal hoe belangrijk juistheid en volledigheid van de data is:

**1. Verwaarloosbaar**
- Kleine fouten hebben geen bedrijfsimpact
- *Bijvoorbeeld: decoratieve website elementen*

**2. Laag**
- Fouten veroorzaken kleine ongemakken
- *Bijvoorbeeld: nieuwsbrief template, interne wiki*

**3. Matig** 
- Fouten leiden tot operationele problemen
- *Bijvoorbeeld: voorraadsysteem, klantenservice tools*

**4. Hoog**
- Fouten hebben ernstige gevolgen voor bedrijfsvoering
- *Bijvoorbeeld: financiële administratie, productiedatabase*

### Beschikbaarheid (Availability) beoordelen  

Beoordeel hoe kritiek het is dat het middel beschikbaar blijft:

**1. Verwaarloosbaar**
- Uitval heeft geen directe bedrijfsimpact
- *Bijvoorbeeld: archiefsysteem, oude rapporten*

**2. Laag**
- Tijdelijke uitval is acceptabel
- *Bijvoorbeeld: HR-portal, interne tools*

**3. Matig**
- Uitval verstoort bedrijfsprocessen
- *Bijvoorbeeld: e-mail systeem, kantoorapplicaties*

**4. Hoog**
- Uitval stopt kritieke bedrijfsactiviteiten
- *Bijvoorbeeld: productiesystemen, betaalverwerking*

> **info:**

**Algehele impactbeoordeling**: Tidal berekent automatisch de totale impact op basis van de **hoogste individuele beoordeling**. Als Confidentiality = 2, Integrity = 4, en Availability = 3, dan wordt de algehele impact = 4.

## Herstelmetrieken instellen

Vier optionele metrieken leggen vast hoe snel het middel terug moet zijn en hoeveel dataverlies acceptabel is: RTO, RPO, MAO en MASL. Vul deze alleen in voor middelen die echt hoge beschikbaarheid nodig hebben.

### Recovery Time Objective (RTO)

**Wat is RTO?**
RTO definieert hoe snel een systeem technisch hersteld moet zijn na een incident.

**Instellen via dropdown:**
- **30 minuten** - Voor kritieke real-time systemen
- **3 uur** - Voor belangrijke bedrijfssystemen  
- **18 uur** - Voor dagelijkse operationele tools
- **3 dagen** - Voor wekelijkse of maandelijkse processen
- **5 dagen of meer** - Voor niet-kritieke systemen

> **tip:**

**RTO realistische instellen**: Kies een RTO die technisch haalbaar is met jouw huidige infrastructuur en budget. Te ambitieuze doelstellingen leiden tot verkeerde verwachtingen.

### Recovery Point Objective (RPO)

**Wat is RPO?**
RPO specificeert hoeveel gegevensverlies acceptabel is bij een incident.

**Praktische keuzes:**
- **1 uur of minder** - Voor informatie die niet verloren mag gaan
- **1 dag** - Acceptabel voor meeste bedrijfsdata
- **1 week** - Voor gegevens die niet vaak wijzigen
- **1 maand** - Voor minder kritieke informatie die weinig wijzigt
- **2 maanden of meer** - Voor archief of backup data

### Maximum Acceptable Outage (MAO)

**Wat is MAO?**
MAO geeft de maximale tijd aan dat een bedrijfsproces zonder dit middel kan functioneren.

**Business perspectief:**
- **1 uur** - Bedrijf stopt direct bij uitval
- **5 uur** - Korte periode met handmatige workarounds
- **1 dag** - Eén werkdag overbrugbaar
- **5 dagen** - Tijdelijke uitval leidt niet tot grote problemen
- **1 week of meer** - Langere periode zonder groot probleem

> **warning:**

**MAO vs RTO verschil**: MAO is hoelang het bedrijf kan overleven, RTO is hoelang technisch herstel duurt. MAO moet altijd groter zijn dan RTO om realistisch te blijven.

### Minimum Acceptable Service Level (MASL)

**Wat is MASL?**
MASL vermeldt het vereiste uptime percentage voor normaal functioneren van het bedrijf.

**Beschikbaarheids levels:**
- **100.00%** - Moet altijd beschikbaar zijn
- **99.99%** - Ongeveer 1 uur uitval per jaar
- **99.90%** - Ongeveer 10 uur uitval per jaar  
- **99.00%** - Ongeveer 8 uur uitval per maand
- **< 98%** - Meer dan 16 uur uitval per maand

## Beoordeling voltooien

Opslaan werkt het impactniveau van het middel direct bij. Kom terug op de beoordeling zodra het middel wezenlijk verandert, en minstens één keer per jaar.

### Beoordeling opslaan

1. **Vul de CIA-scores in** - De rating update direct
2. **Controleer je instellingen** - Zorg dat RTO < MAO en overige logica klopt
3. **Klik op "Update"** om je beoordeling op te slaan
4. **Status wordt bijgewerkt** - Het middel toont nu het juiste impactniveau

### Beoordeling herzien

Een incident of een compliance-audit is net zo goede reden om de scores te herzien als de kalender.

**Wanneer herzien:**
- Bij grote wijzigingen in het middel (functionaliteit, gebruikers, kritiekheid)
- Jaarlijks als onderdeel van risk assessment cyclus
- Na incidenten die nieuwe inzichten opleveren
- Bij compliance audits of reviews

**Herziening proces:**
1. **Open het tabblad Beoordeling** van het middel
2. **Controleer huidige scores** tegen actuele bedrijfssituatie  
3. **Pas scores aan** waar nodig
4. **Update herstelmetrieken** op basis van nieuwe infrastructuur/processen
5. **Sla wijzigingen op** en documenteer redenen voor aanpassingen

> **info:**

**Herstelmetrieken vaak niet van toepassing**: De herstelmetrieken hoeven alleen ingevuld te worden voor bedrijfsmiddelen die een hoge mate van beschikbaarheid vereisen.   

## Best practices voor middelbeoordelingen

Twee dingen zorgen ervoor dat beoordelingen standhouden: vergelijkbare middelen op dezelfde manier scoren, en doelen stellen die je ook echt kunt halen.

### Consistentie waarborgen

Vergelijkbare middelen op dezelfde manier scoren en dezelfde criteria toepassen is wat scores betekenisvol houdt over het hele register.

**Gebruik vergelijkbare middelen als benchmark:**
- Vergelijk soortgelijke systemen binnen je organisatie
- Hanteer consistente criteria voor impactniveaus
- Documenteer je overwegingen voor toekomstige referentie

**Betrek de juiste stakeholders:**
- **Eigenaren** - Kennen dagelijks gebruik en business impact
- **IT teams** - Begrijpen technische herstelcapaciteiten  
- **Business owners** - Kunnen business continuïteit beoordelen

### Realistische doelstellingen

Niet elk middel heeft 99.99% uptime nodig. Laat het doel passen bij wat het middel daadwerkelijk is, en toets daarna of het haalbaar is.

**Balanceer ambitie met haalbaarheid:**
- Niet alle middelen hoeven 99.99% uptime
- Hogere beschikbaarheid betekent hogere kosten
- Focus eerst op de meest kritieke middelen

**Test je aannamen:**
- Voer noodhersteltesten uit om RTO's te valideren
- Controleer backup procedures voor RPO realisatie
- Meet daadwerkelijke hersteltijden tijdens incidenten

> **tip:**

**Start eenvoudig**: Begin met grove beoordelingen voor alle middelen, verfijn daarna de meest kritieke. Een globale beoordeling is beter dan geen beoordeling.

## Waarom middelbeoordelingen belangrijk zijn

Middelbeoordelingen helpen je om:
- **Kritieke bedrijfsmiddelen** te identificeren en prioriteren
- **Risico's** beter in te schatten op basis van daadwerkelijke impact
- **Herstelplannen** op te stellen met realistische doelstellingen  
- **Compliance** aan te tonen voor frameworks zoals ISO 27001 en SOC 2
- **Budgetbeslissingen** te onderbouwen met objectieve gegevens

> **tip:**

Voer beoordelingen uit voor alle middelen die belangrijk zijn voor je bedrijfsvoering. Begin met de middelen waar de meeste mensen en processen van afhankelijk zijn.

## Volgende stappen

Na het voltooien van middelbeoordelingen kun je:
- **Risk assessments** uitvoeren op basis van deze impact data
- **Continuïteitsplannen** verbeteren met realistische hersteltime objectives  
- **Maatregelen** implementeren proportioneel aan de kritiekheid van het middel
- **Compliance rapportages** genereren met accurate impact classifications