Kans op cyberdreigingen verkleinen met beveiligingsanalyse

De belangrijkste dreigingen voor het basisonderwijs

In het Dreigingsbeeld Funderend Onderwijs (afkomstig van Kennisnet) staan de cyberdreigingen voor het Funderend Onderwijs. De belangrijkste zijn:

• Datalekken door cyberincidenten zoals malware, phishing, spoofing of hacking. Dit kan onder andere het gevolg zijn van phishingmails, waardoor hackers toegang krijgen tot IT-voorzieningen met gevoelige informatie en persoonsgegevens.
• Ransomware of gijzelsoftware. Hackers stelen en versleutelen hierbij gegevens, waarna ze losgeld eisen voor het vrijgeven van deze gegevens.
• Afhankelijkheid van leveranciers en clouddiensten. Dit kan problematisch zijn als er onvoldoende controle is over de gemaakte afspraken.

Maatregelen voor risicomanagement

Het vermogen om te reageren op deze cyberdreigingen draait uiteindelijk om risicomanagement. Bestuurders in het onderwijs dragen de eindverantwoordelijkheid om de juiste maatregelen te nemen om de kans op deze risico's te verkleinen. Belangrijke maatregelen voor deze dreigingen kun je onderverdelen in de volgende categorieën:

1. Menselijke weerbaarheid: Het is van cruciaal belang om medewerkers bewust te maken van dreigingen zoals phishingmails en hen te trainen in het juist handelen in geval van dergelijke dreigingen (een cybercrisisplan).
2. Organisatorische weerbaarheid: Stel duidelijke afspraken met leveranciers vast en implementeer beleid en procedures met betrekking tot toegangsbeveiliging, inclusief autorisatiematrices.
3. Technische weerbaarheid: Zorg voor adequate monitoring en logging, voer regelmatig technische kwetsbaarheidstests uit en implementeer multifactorauthenticatie en encryptiemaatregelen.

Het belang van een beveiligingsanalyse

Om de juiste maatregelen te bepalen, is het van belang om een gedegen beveiligingsanalyse uit te voeren. Het dreigingsbeeld kan hierbij als leidraad dienen, maar het is ook belangrijk om te kijken naar beveiligingsincidenten die zich in de praktijk voordoen. Bij Privacy op School ontvangen we wekelijks meldingen van datalekken in onze rol als Functionaris Gegevensbescherming (FG). Deze incidenten omvatten de eerdergenoemde externe dreigingen van criminelen (waarbij diefstal van apparatuur ook nog toegevoegd kan worden), maar ook onbedoelde acties van medewerkers. Een aantal voorbeelden hiervan zijn:

• Mail of bestand verzenden naar de verkeerde ontvanger.
• Onrechtmatige opslag of delen van persoonsgegevens in leerlingen- en personeelsdossiers (zonder toestemming of met te veel informatie).
• Niet tijdig verwijderen van persoonsgegevens.

Het Normenkader Informatiebeveiliging en Privacy (IBP) voor het Funderend Onderwijs biedt richtlijnen voor het opzetten van risicomanagement, het uitvoeren van beveiligingsanalyses en het koppelen van risico's aan beheersmaatregelen. Kijk voor meer informatie over een nulmeting op het normenkader of het uitvoeren van een beveiligingsanalyse op www.privacyopschool.nl.