Normity

MaPGooD is een Nederlands dreigingsmodel voor risicoanalyses op het gebied van informatiebeveiliging. De afkorting staat voor zeven categorieën: Mens, Apparatuur, Programmatuur, Gegevens, Organisatie, Omgeving en Diensten. Met die structuur loop je systematisch alle relevante dreigingsbronnen langs.

M = Mens (menselijk handelen, fouten, kwade opzet), A = Apparatuur (hardware, infrastructuur), P = Programmatuur (software, bugs, malware), G = Gegevens (data-integriteit, datalekken), O = Organisatie (processen, beleid, governance), O = Omgeving (fysieke omgeving, brand, water), D = Diensten (leveranciers, cloud, externe partijen).

MaPGooD is breed toepasbaar: van MKB tot grote organisaties, van zorg tot industrie en dienstverlening. Het model is volwassen genoeg voor uitgebreide analyses en simpel genoeg voor kleinere organisaties zonder veel risicomanagement-ervaring. Het sluit goed aan op ISO 27001, ISO 27002 en de BIO.

RAVIB is specifieker georganiseerd rond ISO 27002-maatregelen en BIO-eisen — vooral geschikt voor overheid en semi-publieke markt. MaPGooD is generieker en flexibeler, met zeven brede categorieën. Voor private organisaties kiezen de meeste voor MaPGooD; voor overheidsorganisaties vaak RAVIB.

Doorloop per categorie (M, A, P, G, O, O, D) de standaarddreigingen. Beoordeel impact en kans voor jouw organisatie en context. Koppel aan maatregelen. De kracht zit in systematiek: door alle zeven categorieën af te lopen voorkom je blinde vlekken. Moderne tools zoals Normity bieden de categorieën en standaarddreigingen direct beschikbaar.

ISO 27001 eist geen specifiek dreigingsmodel, maar wel een gedocumenteerde risicobeoordeling. MaPGooD is een van de bekendere keuzes in Nederland, maar ook RAVIB, STRIDE of een eigen aanpak zijn toegestaan. Wat telt: de methode is reproduceerbaar, dekt alle relevante bedreigingen en is consistent toegepast.

Ja, MaPGooD is een framework, geen dichtgetimmerd model. Je kunt per categorie eigen dreigingen toevoegen die specifiek zijn voor jouw sector of organisatie. Voor zorginstellingen: extra dreigingen rond patiëntgegevens (gekoppeld aan NEN 7510). Voor overheden: extra dreigingen rond gerubriceerde informatie.

Een MaPGooD-analyse moet actueel blijven. Herijk minimaal jaarlijks en sowieso bij grote wijzigingen: nieuwe systemen, nieuwe dreigingen, incidenten, nieuwe wetgeving. Doordat je de analyse in Normity gestructureerd vastlegt, kun je de analyse jaar na jaar 1-op-1 vergelijken — ideaal voor audits.