Digitaal Veilig Onderwijs
Binnen het onderwijs is digitalisering niet meer weg te denken. Het biedt prachtige kansen, zoals meer flexibiliteit en maatwerk. Digitalisering betekent ook dat gevoelige informatie en gegevens digitaal worden verwerkt....
Zelfevaluatie geeft inzicht en duidelijkheid: waar sta jij met IBP?
Stichting VO Amsterdam-Zuid (SVOAZ) maakte gebruik van een zelfevaluatie om inzicht te krijgen in de stand van zaken rondom Informatiebeveiliging en privacy (IBP). Dat zorgde voor bewustwording, vertelt Dennis van Welie: ‘Eerst moet je weten waar je staat. Pas dan weet je waar je prioriteiten liggen.’
Schoolorganisaties hebben vanuit het Normenkader IBP voor het Funderend Onderwijs de opdracht om inzicht te krijgen in hun huidige situatie. Uiterlijk in 2027 moeten scholen weten waar zij staan en een plan hebben opgesteld om uiterlijk in 2030 minimaal volwassenheidsniveau 3 op alle normen behaald te hebben.
Overzicht
“We hebben een belangrijke opdracht, namelijk leerlingen goed voorbereiden op de toekomst. Dan is het niet meer dan logisch dat je daarvoor alles zo goed mogelijk probeert te regelen. Informatiebeveiliging en privacybescherming horen daar absoluut bij, zeker nu cyberaanvallen en online criminaliteit toenemen”, vertelt Dennis van Welie, Security Officer, bovenschools ICT-coördinator en docent scheikunde bij SVOAZ. Onder SVOAZ vallen drie scholen: het Fons Vitae Lyceum, het St. Ignatiusgymnasium en het St. Nicolaaslyceum.
“In 2023 waren we op een punt aanbeland waarop we wisten dat we sommige dingen goed aan het doen waren op het gebied van informatiebeveiliging en privacy, maar we hadden geen volledig overzicht. We wilden weten waar we stonden”, aldus Dennis. “Vervolgens konden we op de verschillende domeinen van het normenkader prioriteit aanbrengen: waar hebben we de minste zaken op orde en waar verwachten we het meeste werk?”
Expertise
De expertise om een zelfevaluatie te gaan doen, was niet in huis aanwezig en werd daarom ingehuurd: “Ik ben op zoek gegaan naar een partij die GRC-tooling aanbood (software die organisaties helpt bij het beheer van governance, risico’s en compliance-activiteiten, red.) en die de tool kon implementeren. Uiteindelijk kwamen we uit bij een externe CISO, een Chief Information Security Officer, die dit voor ons heeft gedaan.” Het vinden van een CISO en een geschikte GRC-tool duurde zo’n vijf weken, vertelt Dennis.
De CISO heeft vervolgens gedurende drie maanden met allerlei partijen in de schoolorganisatie gesproken, waaronder het bestuur, HR, facilitair management en financiën. Eind 2023, een jaar na de start van de zoektocht naar de juiste GRC-tool, lag het rapport van de zelfevaluatie op tafel: “Best een flinke doorlooptijd, maar ga maar na: alleen al voor informatiebeveiliging moet je 69 normen langsgaan.”
Doe een zelfevaluatie
Krijg snel inzicht in de digitale veiligheid van jouw school(bestuur). Met een zelfevaluatie zie je waar je staat ten opzichte van het Normenkader IBP en leg je de basis voor een plan van aanpak.
‘We zijn op weg’
Gedurende het jaar merkte Dennis dat het normenkader in de organisatie relatief onbekend was. “Dat wist ik natuurlijk wel, maar het benadrukte maar weer eens het belang van goede communicatie. Dat was en is een belangrijk onderdeel van mijn werk.”
“Tijdens de gesprekken die de CISO voerde voor de zelfevaluatie werd door collega’s op school vaak gezegd: ‘het is toch vanzelfsprekend dat ik mijn werk zo doe’. Voor mij en voor het bestuur was dat een eyeopener: we deden al veel goed binnen onze organisatie, maar hadden het niet geborgd. Veel dingen zitten alleen in de hoofden van mensen en staan niet op papier. En als er dan iemand weggaat, verdwijnt belangrijke kennis. Door goed te borgen en door processen cyclisch te maken, maak je je organisatie toekomstbestendig. Dat inzicht heeft het normenkader ons echt gebracht”, aldus Dennis.
Maar het belangrijkste inzicht dat de zelfevaluatie opleverde, was dat SVOAZ niet ‘op nul’ hoefde te beginnen, zegt Dennis: “We scoorden op een aantal normen niet niveau 1, maar haalden al niveau 2. Gemiddeld zaten we op 1.7. Dat gaf aan: we zijn al op weg, we hoeven niet helemaal bij het begin te beginnen.”
"Door goed te borgen en door processen cyclisch te maken, maak je je organisatie toekomstbestendig. Dat inzicht heeft het normenkader ons echt gebracht."
Op de agenda
Na de zelfevaluatie leverde het borgen van processen en activiteiten op allerlei niveaus in de organisatie werk op, zegt Dennis: “De uitkomsten van de zelfevaluatie zijn daarom eerst gedeeld met alle afdelingshoofden. En veel dingen moesten natuurlijk ook aan de Gemeenschappelijke Medezeggenschapsraad en de raad van toezicht worden voorgelegd.”
De voordelen van de zelfevaluatie zijn echter evident: “Het Normenkader IBP staat nu op de agenda van het bestuur. De zelfevaluatie heeft echt een deur geopend. Het bestuur weet nu dat zolang we het niet op orde hebben, we toch kwetsbaar zijn. Maar de voortgang zit erin en we hebben acties helder geprioriteerd.”
Ook wordt binnen SVOAZ nu meer nagedacht over informatieopslag: “Mensen zijn bewuster gaan nadenken over welke informatie we verzamelen en hoe we die op een verantwoorde manier opslaan en delen.” Dat heeft ook gevolgen voor bijvoorbeeld de aanschaf van een AI-tool: “We zullen die nu niet zomaar kopen en in gebruik nemen. Daar gaan we echt beter over nadenken.” Diverse rollen zijn bovendien na de zelfevaluatie in de organisatie helder benoemd. Er is nu een IBP-team bestaande uit Dennis als Security Officer, de externe CISO (die ook nog steeds werkzaam is voor SVOAZ), de bestuurssecretaris als Privacy Officer en de bestuurder die ICT in de portefeuille heeft.
"Het normenkader en de zelfevaluatie zijn geen ICT-feestje. Het is iets van de hele organisatie en het bestuur is verantwoordelijk."
Ambitie
“Het normenkader en de zelfevaluatie zijn geen ICT-feestje”, benadrukt Dennis. “Het is iets van de hele organisatie en het bestuur is verantwoordelijk. Het bestuur moet uiteindelijk ook in de jaarrapportage aan de inspectie en de raad van toezicht gaan rapporteren over waar wij staan als organisatie. Mijn eerste missie toen ik over het normenkader hoorde, was om het op de agenda van het bestuur te krijgen. Dat is gelukt.”
Waar staat SVOAZ nu? Dennis: “We hebben fase 1 van het Groeipad inmiddels afgerond. Daar zijn we ruim een jaar mee bezig geweest. Op dit moment zijn we halverwege fase 2 en op 50% van volwassenheidsniveau 3. Onze ambitie was oorspronkelijk om in 2027 klaar te zijn, en dat willen en kunnen we nog steeds halen.”
Wacht niet af
Als Dennis bij een andere organisatie zou gaan werken, zou hij het hele proces rondom zelfevaluatie weer op dezelfde manier aanpakken, vertelt hij. “Beginnen bij het bestuur en helder zijn over de deadlines. En dan samen terugrekenen en je afvragen: waar staan we nu? Pas na een nulmeting weet je waar je prioriteiten liggen. Misschien heb je sommige normen al goed op orde, en dan is het zonde om daar te beginnen.”
Zijn advies aan andere scholen is dan ook om niet bang te zijn dat de uitslag van een zelfevaluatie is dat je helemaal bij het begin moet beginnen. “Dat zal echt niet het geval zijn. Dus schuif het niet vooruit, wacht niet af. Heb je als eenpitter (klein schoolbestuur, red.) hulp nodig? Zoek elkaar dan op, bekijk samen bestaande templates of huur gezamenlijk een CISO in. Maar benut de tijd die je nu nog hebt. Dan heb je de rust om iedereen in je organisatie goed mee te nemen. Je moet echt aan de slag.”
