• Onderzoek
• |
• Informatiebeveiliging en privacy
• |
• po
• vo

Nulmeting Normenkader IBP: waar staat het funderend onderwijs met informatiebeveiliging?

Waar staan schoolbesturen in het funderend onderwijs op het gebied van informatiebeveiliging? Zijn zij goed voorbereid op een mogelijke cyberaanval? Of moet er nog een tandje bij? In een onafhankelijk en representatief onderzoek onder 15 schoolbesturen (met samen 80.000 leerlingen) is gekeken waar zij staan ten opzichte van het Normenkader Informatiebeveiliging en Privacy Funderend Onderwijs. Uit de resultaten blijkt dat – ondanks de verschillen tussen de besturen – nog geen enkel schoolbestuur volledig voldoet aan de normen en de verantwoordelijkheid voor digitaal veilig onderwijs. Besturen moeten daarom aan de slag om een digitaal weerbare en veilige schoolorganisatie te worden. Om hierbij te ondersteunen biedt het programma Digitaal Veilig Onderwijs handvatten en leidraden.

Door de redactie

11 september 2023

6 minuten lezen

De nulmeting Normenkader IBP FO laat zien hoe schoolbesturen er nu voor staan en brengt de belangrijkste aandachtspunten in kaart op het gebied van informatiebeveiliging. Ook legt het de obstakels bloot die schoolbesturen ervaren bij het toepassen van het normenkader.

Resultaten nulmeting Normenkader IBP FO

Er was veel animo bij de 15 besturen om mee te doen aan het onderzoek. Schoolbesturen willen graag weten waar ze staan en dit ook zelf kunnen meten en benchmarken. Veel schoolbesturen zijn op de goede weg met informatiebeveiliging, maar er moet ook nog veel gebeuren om aan alle normen te voldoen. 

Uit het onderzoek blijkt onder andere dat informatiebeveiliging afhankelijk is van een kleine groep mensen die er binnen een schoolbestuur verantwoordelijk voor is. Daardoor dringt de noodzaak ervan niet in alle lagen van de organisatie door. Bestuurders en onderwijspersoneel zijn zich lang niet altijd bewust van het belang van informatiebeveiliging en privacy.  

Ook geeft het grootste deel van de besturen in het onderzoek aan dat er geen crisis- of herstelplannen zijn bij noodsituaties. Bij een groot incident zijn zij niet (goed) voorbereid en weten zij niet of scholen in dat soort situaties de normale werkzaamheden kunnen voortzetten. Vaak ontbreekt ook specifiek beleid voor toegangsbeveiliging in systemen en is er geen monitoring op toegangsrechten en gebruikers. Daardoor kunnen besturen niet proactief risico’s ontdekken en preventief incidenten voorkomen. 

In de praktijk merken besturen ook dat de beleidsmatige eisen van scholen niet overeenkomen met wat leveranciers leveren. Scholen gaan dan vaak toch akkoord met de overeenkomsten van leveranciers, terwijl het belangrijk is dat zijzelf regie houden op hun inkoop. 

Vier typen schoolbesturen

Voor het bepalen van de ondersteuningsbehoefte van schoolbesturen is een indeling gemaakt in type bestuur. Uit het onderzoek komen vier typen besturen naar voren en wat hen kan helpen: 

1. Koplopers (beleid en praktijk): Deze besturen hebben het beleid op orde en voldoende expertise om dit in de praktijk uit te voeren. Dit type bestuur voldoet nog niet aan alle normen van het Normenkader IBP FO, maar heeft wel de middelen in huis om de normen te behalen. 
2. Uitvoerders (praktijk zonder beleid): Deze besturen hebben voldoende IBP-experts in huis, maar onvoldoende draagkracht binnen de organisatie voor de uitvoering van het IBP-beleid. Dit type bestuur heeft behoefte aan ondersteuning bij het vergroten van de bewustwording bij medewerkers en onderwijspersoneel, zodat de verantwoordelijkheid voor IBP door de hele organisatie gevoeld wordt, in plaats van door een kleine groep mensen.   
3. Denkers (beleid zonder praktijk): Deze besturen denken na over beleid rond IBP, bijvoorbeeld na een cybersecurityaanval, maar hebben onvoldoende capaciteit om dit beleid uit te voeren. Dit type bestuur heeft behoefte aan externe expertise die zij kunnen inzetten en raadplegen, bijvoorbeeld in de vorm van best practices of een informatiepunt waar zij vragen aan kunnen stellen. 
4. Achterblijvers (geen beleid en geen praktijk): Bij deze besturen ontbreken beleid en uitvoering. Zij vrezen dat aandacht voor IBP ten koste gaat van aandacht voor het reguliere onderwijs. Dit type bestuur heeft baat bij bewustwording van het belang van IBP, want ook voor hen is het belangrijk dat informatiebeveiliging op orde is. Daarnaast helpt het bieden van kennis en expertise, zodat zij aan de slag kunnen. 

Obstakels: bewustzijn, expertise en capaciteit

Het onderzoek benadrukt drie obstakels en uitdagingen waar schoolbesturen tegenaan lopen bij het toepassen van de normen uit het normenkader: 

• gebrek aan bewustzijn over IBP bij schoolbesturen en onderwijspersoneel 
• onvoldoende kennis en expertise van IBP binnen het bestuur 
• te weinig capaciteit voor informatiebeveiliging 

Het laat dan ook duidelijk de urgentie zien aan schoolbesturen om dit onderwerp serieus te nemen en om de basis op orde te brengen. “Bestuurders realiseren zich nog te vaak niet dat het bestuur verantwoordelijk is als de informatiebeveiliging van een schoolbestuur niet op orde is”, zegt Larissa Zegveld, directeur van Kennisnet. In haar blog benadrukt zij dat de zwakste schakel de kracht van de keten bepaalt. “Bij een cyberincident komt een school met een beetje pech negatief in de media. Dat is schadelijk voor de hele onderwijssector.” 

“Door nu deze stappen te zetten, kan de schade die een incident met zich meebrengt beheersbaar en binnen de perken blijven. Voor dit normenkader hebben we met elkaar, op basis van alle geleerde lessen, minimale vereisten bepaald. Veel schoolbesturen geven aan dat ze het prettig vinden dat ze weten waaraan ze moeten voldoen.”

Ondersteuning bij IBP: ga zelf aan de slag

Door bewustzijn, kennis en capaciteit te vergroten, kunnen schoolbesturen stap voor stap aan de slag met informatiebeveiliging en kan de privacy van leerlingen en medewerkers worden beschermd. Om besturen te helpen bij een digitaal veilige schoolorganisatie, biedt het programma Digitaal Veilig Onderwijs handvatten, leidraden en passend ondersteuningsaanbod.

Uit het onderzoek komen ook aanbevelingen naar voren voor het bieden van aanvullend ondersteuningsaanbod. Daar gaat het programma Digitaal Veilig Onderwijs mee aan de slag. Op die manier bundelen we gezamenlijk onze krachten voor een onderwijssector waarin iedere leerling digitaal veilig kan leren en medewerkers digitaal veilig kunnen werken. 

Over het onderzoek

De nulmeting Normenkader IBP FO is tussen maart en april 2023 uitgevoerd door onafhankelijk onderzoeksbureau Dialogic in opdracht van het programma Digitaal Veilig Onderwijs. Met een landelijke steekproef is een representatieve groep van vijftien schoolbesturen (met samen in totaal 80.000 leerlingen) geselecteerd uit het primair en voortgezet onderwijs, van verschillende groottes en verspreid over het land. De schoolbesturen hebben een uitgebreide vragenlijst ingevuld en zijn geïnterviewd.

Over het programma Digitaal Veilig Onderwijs

Om digitaal veilig onderwijs te kunnen bieden, zijn doordachte gegevensverwerking én goede gegevensbeveiliging van groot belang. Met het programma Digitaal Veilig Onderwijs bundelen we gezamenlijk onze krachten voor een onderwijssector waarin iedere leerling digitaal veilig kan leren en medewerkers digitaal veilig kunnen werken. Het programma biedt schoolbesturen heldere leidraden en een concreet ondersteuningsaanbod. Zo kunnen zij voldoen aan hun verantwoordelijkheid om een digitaal veilige organisatie te realiseren. Stap voor stap, Bit by Bit.

Ga naar digitaalveiligonderwijs.nl