ISO 27001 in het onderwijs: waarom scholen en onderwijsinstellingen nu certificeren

Op 23 december 2019 legde een ransomware-aanval de Universiteit Maastricht vrijwel volledig plat: e-mail, onderzoeksdata en studentsystemen waren dagenlang onbereikbaar. Bijna zeven jaar later staat het onderwijs nog altijd hoog op de lijst van aanvallers. Onderwijsinstellingen bewaren gevoelige gegevens van minderjarigen, werken met honderden leveranciers en hebben zelden een grote securityafdeling. Oktober, de Europese maand van de cybersecurity, is een goed moment voor de vraag die steeds meer schoolbesturen zichzelf stellen: is ISO 27001-certificering voor ons de logische volgende stap?

Waarom het onderwijs een gewild doelwit is

Een combinatie van factoren maakt het onderwijs kwetsbaar:

Veel gevoelige gegevens. Leerling- en studentgegevens bevatten niet alleen NAW-gegevens, maar ook cijfers, verzuim, zorgdossiers en soms medische informatie. Het gaat bovendien vaak om minderjarigen, waardoor de AVG extra zorgvuldigheid vraagt. De Autoriteit Persoonsgegevens ziet daarop toe.

Een open cultuur. Onderwijs draait om delen en samenwerken. Docenten, leerlingen en gastgebruikers loggen in vanaf eigen apparaten, thuis en op school.

Een lange keten. Leerlingvolgsystemen, toetsplatforms, digitale leermiddelen, roosterpakketten: het gemiddelde schoolbestuur werkt met tientallen tot honderden leveranciers die toegang hebben tot persoonsgegevens.

Beperkte capaciteit. Zeker in het funderend onderwijs is de ICT-functie vaak klein of uitbesteed. Security is er een van de vele taken.

Ransomware-incidenten bij Nederlandse scholen en universiteiten van de afgelopen jaren laten de impact zien: lessen die uitvallen, toetsen die niet doorgaan en persoonsgegevens op straat.

Welke kaders gelden er al?

Het onderwijs begint niet bij nul. Er liggen sectorale kaders die grotendeels op ISO 27001 en ISO 27002 zijn gebaseerd.

Funderend onderwijs (po en vo)

Voor het primair en voortgezet onderwijs geldt het Normenkader Informatiebeveiliging en Privacy (IBP), een samenwerking van het ministerie van OCW, de PO-Raad, de VO-raad, SIVON en Kennisnet. Het normenkader werkt met volwassenheidsniveaus en een groeipad, waarbij niveau 3 geldt als streefniveau voor schoolbesturen. De maatregelen sluiten nauw aan op ISO 27001 en ISO 27002.

Mbo, hbo en wo

Voor het middelbaar en hoger onderwijs bestaat een vergelijkbaar Normenkader IBP, ontwikkeld door SURF met Kennisnet en de sectorraden. Instellingen toetsen zichzelf via SURFaudit, met een jaarlijkse benchmark die laat zien hoe de sector ervoor staat. Ook dit toetsingskader is geënt op ISO 27001 en ISO 27002.

Wetgeving

Boven op de sectorkaders staat de AVG, die voor gegevens van minderjarigen extra strenge eisen stelt. Onderwijsinstellingen vallen als sector niet onder de Cyberbeveiligingswet, maar onderzoeksorganisaties kunnen wel onder de wet vallen. Universiteiten die naast onderwijs ook onderzoek of andere aangewezen diensten leveren, doen er goed aan per onderdeel na te gaan of de Cbw op hen van toepassing is.

Wie het Normenkader IBP serieus toepast, heeft dus al een groot deel van een ISO 27001-managementsysteem in huis. Het verschil zit in de aantoonbaarheid: een certificaat van een onafhankelijke certificerende instelling.

Waarom certificeren, en niet alleen voldoen?

Een zelfbeoordeling volgens het normenkader is waardevol, maar blijft een eigen verklaring. Certificering voegt daar vier dingen aan toe:

Aantoonbaarheid naar buiten. Ouders, studenten, de Inspectie van het Onderwijs, gemeenten en samenwerkingsverbanden vragen steeds vaker hoe een bestuur zijn informatiebeveiliging heeft georganiseerd. Een certificaat beantwoordt die vraag zonder lange uitleg.

Leveranciers en aanbestedingen. Edtech-leveranciers en onderwijsdienstverleners krijgen in aanbestedingen en verwerkersovereenkomsten steeds vaker de vraag om ISO 27001. Wie zelf gecertificeerd is, kan die eis ook geloofwaardig aan de eigen keten stellen.

Bestuurlijke verantwoordelijkheid. Het bestuur is eindverantwoordelijk voor de bescherming van leerling- en studentgegevens. Een gecertificeerd ISMS geeft het bestuur een vaste cyclus van risicoanalyse, maatregelen, interne audit en managementreview waarmee het die verantwoordelijkheid aantoonbaar invult.

Eén kapstok. ISO 27001 is de gemeenschappelijke basis onder het Normenkader IBP, SURFaudit en de AVG-verplichtingen. Eén managementsysteem in plaats van losse lijstjes per kader.

ISO 27001 implementeren in het onderwijs: zo pakt u het aan

De route naar certificering is voor iedere organisatie in grote lijnen gelijk; wij beschreven die eerder in 10 stappen naar certificering. Voor onderwijsinstellingen verdienen de volgende accenten extra aandacht:

1.Bepaal de scope op bestuursniveau. Neem het bestuursbureau en alle scholen of locaties mee. Een scope die alleen het bestuursbureau dekt, zegt weinig over de plek waar leerlinggegevens daadwerkelijk worden verwerkt.

2.Richt de risicoanalyse op onderwijsprocessen. Leerlingvolgsystemen, digitaal toetsen, cijferadministratie, BYOD van docenten en leerlingen, clouddiensten en de overdracht van dossiers tussen scholen.

3.Leg de rolverdeling vast. De functionaris gegevensbescherming (FG), een security officer of IBP-coördinator, de ICT-partner en de schoolleiders hebben elk een eigen rol. Maak die expliciet, ook wanneer ICT is uitbesteed.

4.Investeer in awareness voor docenten. Phishing, zwakke wachtwoorden en het onbedoeld delen van dossiers zijn in het onderwijs veelvoorkomende oorzaken van incidenten. Korte, herhaalde training werkt beter dan één jaarlijkse sessie.

5.Organiseer leveranciersbeheer. Houd een actueel register bij van leveranciers, verwerkersovereenkomsten en beoordelingen. Gebruik waar mogelijk de modelafspraken uit de onderwijssector.

6.Richt een incidentproces in. Wie beoordeelt een datalek, wie meldt bij de Autoriteit Persoonsgegevens en wie informeert ouders of studenten? Oefen dit vooraf, niet pas tijdens het incident.

Hoe uComply helpt

Een schoolbestuur met meerdere scholen wil één managementsysteem, maar ook een zuivere scheiding per school. Met Business Units richt u in één uComply-omgeving per school een eigen werkruimte in voor risico's, incidenten en assets, terwijl het bestuur het totaaloverzicht houdt en de normen en maatregelen gedeeld blijven.

Naast ISO 27001 voegt u het Normenkader IBP toe als eigen standaard. Maatregelen beheert u één keer en koppelt u aan meerdere normeisen, zodat u met dezelfde bewijslast zowel het normenkader als ISO 27001 aantoont. De gap-analyse laat zien wat nog ontbreekt.

Omdat vrijwel elke onderwijsinstelling in Microsoft 365 werkt, sluit uComply daar naadloos op aan: de applicatie draait volledig binnen uw eigen Microsoft 365-omgeving en de data verlaat uw organisatie niet. Via het Flightdeck dashboard ziet het bestuur de voortgang per norm en de openstaande risico's in één oogopslag.

Kleinere besturen zonder eigen IT-capaciteit kunnen direct starten met uComply SaaS en later overstappen naar eigen beheer. Al het werk gaat mee.

Samenvatting

Het onderwijs verwerkt gevoelige gegevens van minderjarigen, werkt met een lange keten van leveranciers en is een bewezen doelwit voor ransomware. De sectorkaders, het Normenkader IBP en SURFaudit, zijn al op ISO 27001 gebaseerd. Certificering maakt de stap van zelfverklaring naar onafhankelijk aangetoonde beheersing, richting ouders, studenten, inspectie, gemeenten en leveranciers.

Wilt u zien hoe uComply ISO 27001 en het Normenkader IBP in één omgeving inricht voor uw bestuur of instelling? Plan een vrijblijvende demo of bekijk onze prijzen.