Normity

RAVIB staat voor Referentie Architectuur Voor InformatieBeveiliging en is een Nederlands dreigingsmodel voor risicoanalyses op het gebied van informatiebeveiliging. RAVIB sluit nauw aan bij ISO 27002 en de BIO. Het is vooral populair in de Nederlandse overheids- en semi-publieke markt.

RAVIB is vooral geschikt voor overheidsorganisaties (Rijk, gemeenten, waterschappen, provincies) en semi-publieke partijen die met de BIO werken. Ook leveranciers aan de overheid kiezen vaak voor RAVIB omdat de structuur direct aansluit op de maatregelen die hun opdrachtgevers gebruiken.

MaPGooD is een generiek dreigingsmodel met zeven brede categorieën (Mens, Apparatuur, Programmatuur, Gegevens, Organisatie, Omgeving, Diensten). RAVIB is specifieker georganiseerd rond ISO 27002-maatregelen en BIO-eisen. Voor overheidsorganisaties ligt RAVIB voor de hand; voor private organisaties kiezen velen voor MaPGooD.

RAVIB is opgebouwd rond de maatregelenstructuur van ISO 27002: per dreiging zie je direct welke controls relevant zijn. Dat maakt het invullen van de verklaring van toepasselijkheid (VvT) voor ISO 27001- of BIO-compliance aanzienlijk eenvoudiger.

RAVIB hanteert vier risicobehandelingsstrategieën: vermijden (activiteit staken), verminderen (maatregelen nemen), overdragen (verzekeren, uitbesteden) en accepteren (restrisico bewust dragen). Per geïdentificeerd risico leg je de gekozen strategie vast, inclusief onderbouwing en eigenaar.

Start met het doorlopen van de standaarddreigingen uit het RAVIB-model. Per dreiging: beoordeel impact en kans voor jouw organisatie, koppel aan bestaande of nieuwe beheersmaatregelen en bepaal de risicobehandelingsstrategie. In Normity is RAVIB direct beschikbaar, inclusief koppeling naar maatregelen.

Ja. Veel organisaties gebruiken RAVIB voor de algemene informatiebeveiligingsanalyse en aanvullend specifiekere modellen (STRIDE voor softwareontwerp, MITRE ATT&CK voor detectie-engineering). De modellen sluiten elkaar niet uit — ze vullen elkaar aan op verschillende abstractieniveaus.

Een RAVIB-analyse moet actueel blijven. Herijk minimaal jaarlijks en sowieso bij grote wijzigingen: nieuwe systemen, nieuwe dreigingen, incidenten, nieuwe wetgeving (zoals NIS2). Koppel de herijking aan de PDCA-cyclus van je ISMS, zodat het geen eenmalige exercitie blijft.