Half januari 2025. Plotseling alarmerende berichten in de media: de digitale systemen van scholen, overheidsinstanties en zorginstellingen zijn platgelegd. Met het Normenkader Informatiebescherming en Privacy wil de onderwijssector de eigen kwetsbaarheid verminderen. De ambitie van Carmel is om hiermee eind 2025 op niveau te zijn.

Ook Carmelscholen kregen te maken met zogeheten DDoS-aanvallen, maar via een back-up netwerk kon het systeem in de lucht worden gehouden. De exacte details blijven hier uit veiligheidsoverwegingen onbeschreven. Belangrijk is dat deze constructie heeft gewerkt. “We hadden alles al klaarstaan”, constateert Mervin Willemsz, senior information security officer.

Opeens weet iedereen weer hoe kwetsbaar digitale systemen zijn. Dat vraagt om waakzaamheid, want cybercriminelen zitten niet stil. “Scholen kunnen niet meer zonder die systemen”, weet Marco de Groot, adviseur ICT. Daarom geldt de afspraak dat elke onderwijsinstelling in Nederland in 2027 voldoet aan het Normenkader Informatiebeveiliging en Privacy (IBP). Het doel daarvan, legt een animatie op de website van Kennisnet uit, is “een veilige leer- en werkomgeving voor alle leerlingen en medewerkers”. Waarin systemen bestand zijn tegen aanvallen, zodat persoonsgegevens niet op straat komen te liggen. 

Duizelingen 

Dat filmpje van Kennisnet roept overigens duizelingen op. Het legt uit dat het Normenkader IBP vijftien normen en 69 richtlijnen beslaat. Daarbij onderscheidt het vijf ‘volwassenheidsniveaus’ en geldt ‘niveau 3’ als streefniveau. Marco noemt het ‘een universele thermometer’, die een objectief beeld geeft van de kwaliteit en de veiligheid van de systemen. En bovendien scholen in staat stelt om onderling te vergelijken. Maar hoe pak je dat aan? 

Ruim een jaar geleden heeft Carmel een nulmeting uitgevoerd door alle eigen systemen naast het Normenkader te leggen. Over de resultaten kan Marco niet alles kwijt. “Iedereen kan Carmel Magazine lezen, ik kan niet alles prijsgeven.” Het algemene beeld is overigens gunstig, Carmel scoort bovengemiddeld. 
Dat neemt niet weg dat er nog veel te doen is. Vooral de bewustwording vraagt aandacht. Veel digitale problemen zijn het gevolg van menselijk handelen. Daarvoor is het programma ‘Oog voor privacy & informatiebeveiliging’ opgezet. Niet dat hiermee alles is gezegd, het Normenkader heeft een veel grotere reikwijdte, en strekt zich uit van bestuur tot en met uitvoering. Marco: “Van alle onderdelen moeten we iets vinden. Daarover moeten we vervolgens afspraken maken en zo nodig nog maatregelen treffen.”


Marco en Mervin

Veranderingen

Aan het opnemen van de thermometerstand, een jaar geleden, hebben de scholen actief meegewerkt door informatie te leveren. “De dienst ICT is in 2016 al gecentraliseerd, we doen steeds meer dingen samen. Denk aan Samen Slimmer. We moeten nu samen iets vinden van zaken waarvan we nog nooit iets vonden”, licht Marco toe. En dat brengt veranderingen met zich mee. “Wij waren als afdeling altijd aanbieders van ICT, de rest was aan de gebruikers. Maar voor het Normenkader moeten we ook kijken naar alle gebruikte applicaties en cloudservices.” Mervin: “Wij hebben al veel aan de achterkant gedaan, dat hebben gebruikers niet gemerkt. Nu komen we dichter bij de dagelijkse praktijk.”
Want vooral het onderzoek van applicaties kan gevoelig liggen. Carmelscholen zijn nog betrekkelijk autonoom in de keuze hiervan. “School A gebruikt deze applicaties, school B weer andere”, verduidelijkt Marco. Een commissie van medewerkers uit de scholen en experts gaat de verschillende applicaties doorlichten. En dan kán het zijn dat veelgebruikte applicaties als niet voldoende veilig worden beoordeeld. Mervin: “Misschien kunnen we extra beveiliging aanbrengen, of zijn er betere én veiligere applicaties. Maar zo komen we wel aan het dagelijkse werk van de collega’s.”

Verantwoordelijkheid

Dat gebeurt ook nu al. Wie even van de laptop wegloopt, moet daarna opnieuw inloggen. “Dat is misschien lastig, maar je wilt niet dat onbevoegden in jouw bestanden kunnen kijken. Daarin hebben we allemaal een eigen verantwoordelijkheid”, benadrukt Marco. “En wees ervan overtuigd dat we een goed evenwicht zoeken tussen veiligheid en werkgemak”, meldt Mervin. Net als andere instellingen voor voortgezet onderwijs moet Carmel in 2027 in het Normenkader minimaal niveau 3 halen. “De ambitie is om eind 2025 op niveau te zijn. Dat is misschien hoog gegrepen, maar 2027 is een harde eis”, licht Marco nog toe. Het is alle hens aan dek. Hij besluit: “Dit is uiteindelijk wat we allemaal willen. Bescherming van ieders privacy en veilige digitale systemen zijn in het belang van iedereen.”

‘Heb jij oog voor phishing?’

Op het prikbord in de spreekkamer van het bestuurs-bureau in Hengelo, waar het gesprek met Marco en Mervin plaatsvindt, hangt een poster. ‘Heb jij oog voor phishing?’, staat er te lezen. Het is onderdeel van het bewustwordingsprogramma ‘Oog voor privacy & informatiebeveiliging’.

Phishing is een van de gehaaide manieren waarmee cybercriminelen je benaderen. Je krijgt een e-mail die je gouden bergen belooft als je maar de bijgesloten link aanklikt. Of strenge straffen, als je dat niet doet. Zo komen je gegevens bij criminelen terecht. Dat kan jou, maar ook leerlingen, collega’s en Carmel als geheel grote schade toebrengen. Of we het leuk vinden of niet: het merendeel van de mogelijke problemen komt voort uit menselijk handelen. Bewustwording en, waar nodig, gedragsverandering is noodzaak.

Daarom is phishing één van de onderdelen uit het Carmelbrede bewustwordingsprogramma ‘Oog voor privacy & informatiebeveiliging .’ Onderdeel daarvan is een verplichte e-learning die bestaat uit vijf modules, met een korte theoretische inleiding, voorbeelden en een afsluitende toets. “We gaan ook nog aandacht schenken aan de risico’s van specifieke werkzaamheden”, zegt Mervin. “Zo willen we de bewustwording van de risico’s inbedden in het werk. Elke medewerker wordt geacht de vijf modules te volgen. In de scholen attenderen schoolleiders en privacy-coördinatoren de medewerkers hierop.” Alles 100% gescoord? Dan ontvang je een certificaat. Jaarlijkse herhaling is voorzien.

Op deze manier wil Carmel alle medewerkers ervan bewust maken dat privacybescherming en digitale veiligheid de verantwoordelijkheid is van iedereen. Dat blijft noodzakelijk, ook na het voltooien van de modules, zo bleek recent na een door Carmel verzonden nep-phishingmail. Een redelijk aantal van de ontvangers klikte toch nog de daarin opgenomen link aan. Er is duidelijk nog wat werk aan de winkel.

Werk je bij Carmel? Check dan de pagina ‘Oog voor privacy & informatiebeveiliging’ op Carmel Intranet.



Tekst: Hans Morssinkhof
Fotografie: Niki Kits-Polman