1.
Digitale veiligheid
in het onderwijs:
Wat en waarom?
Elke leerling moet kunnen leren in een digitaal veilige schoolomgeving. Ook jouw schoolorganisatie werkt met persoonlijke informatie van minderjarigen én medewerkers. Tegelijkertijd nemen sectorbreed de privacy- en beveiligingsrisico’s toe. Steeds vaker gaat het (bijna) mis, waardoor gegevens op straat komen te liggen of lessen niet kunnen doorgaan.
1.1 Is jouw school digitaal veilig?
Je denkt misschien dat de digitale veiligheid op jouw school goed geregeld is. Maar wat als je ineens een dreigmail ontvangt via een gehackt leerlingaccount? Of als het hele schoolsysteem wordt gegijzeld door ransomware? Dat overkwam onder andere OSG Hengelo, Koninklijke Auris Groep, Lucas Onderwijs, stichting Comprix en Willem van Oranje Onderwijsgroep. Deze scholen delen openhartig hun ervaringen met cyberincidenten. Wat gebeurde er? Wat was de impact? En vooral: welke lessen willen zij andere scholen meegeven? Hun verhalen laten zien dat digitale dreigingen niet ver weg zijn, maar elke school kunnen treffen.
1.2 Wat zijn de grootste digitale dreigingen?
Om cyberdreigingen aan te pakken, is het belangrijk om een veilige digitale schoolomgeving te creëren en de risico’s goed in kaart te brengen. Maar wat zijn nu de grootste digitale bedreigingen voor scholen? Kennisnet bracht dit in beeld met de publicatie Dreigingsbeeld Cybersecurity 2025. De vijf meest urgente dreigingen zijn:
- Afhankelijkheid van leveranciers Scholen gebruiken veel Software as a Service (SaaS)-oplossingen, die als online dienst worden aangeschaft en niet zelf worden beheerd. Dit heeft voordelen, maar brengt ook risico’s met zich mee, zoals beperkte controle op beveiliging en mogelijke incidenten bij leveranciers.
- Infostealers Infostealers zijn een type malware (kwaadaardige software) dat is ontworpen om persoonlijke gegevens te stelen. Infostealers werken onopvallend en efficiënt waardoor ze vaak onopgemerkt. De gestolen gegevens kunnen vervolgens voor fraude of afpersing worden gebruikt.
- Phishing Phishing is een vorm van digitale fraude waarbij social engineering (misleiding en manipulatie) wordt toegepast om toegang te krijgen tot vertrouwelijke gegevens en systemen. Op deze manier kan er fraude, oplichting of afpersing plaatsvinden.
- Ransomware Gijzelsoftware blokkeert systemen of versleutelt gegevens, waarna losgeld wordt geëist. Hierbij wordt scholen verteld dat, als ze niet aan de eisen voldoen, de lokale data wordt vernietigd en/of gepubliceerd op het darkweb (chantage).
- DDoS-aanvallen Een Distributed Denial of Service (DDoS)-aanval overspoelt systemen met verzoeken, waardoor bijvoorbeeld de internetverbinding uitvalt of digitale leeromgevingen onbereikbaar worden.
Door regelmatig een risicoanalyse uit te voeren, kunnen scholen bepalen welke dreigingen het meest relevant zijn en waar actie nodig is.
1.3 Normenkader Informatiebeveiliging en Privacy
Als schoolbestuurder heb je de verantwoordelijkheid om samen met (de) schoolleider(s) en IBP’er(s) weerbaar te zijn tegen cyberdreigingen en een digitaal veilige leer- en werkomgeving te realiseren. Daarom werkt de onderwijssector toe naar één duidelijke norm: het Normenkader Informatiebeveiliging en Privacy.
Dit normenkader bevat richtlijnen en voorbeeldmaatregelen om digitale veiligheid in scholen te versterken. Het is een belangrijk hulpmiddel om jouw school digitaal veilig te maken. Maar uit een nulmeting in 2023 bleek dat geen enkel schoolbestuur volledig aan de normen voldeed. Veel scholen hebben een lage volwassenheid op informatiebeveiliging en privacy. Dit gecombineerd met een beperkte capaciteit en/of expertise op dit gebied, maakt het uitdagend om maatregelen tegen dreigingen te implementeren.
1.4 Het Groeipad: stapsgewijs werken aan digitale veiligheid
Het Normenkader IBP is uitgebreid en kan overweldigend zijn. Waar begin je als schoolbestuurder? Het Groeipad biedt houvast. Het Groeipad is jouw wegwijzer door het Normenkader IBP. Hiermee breng je gestructureerd en stapsgewijs de digitale veiligheid in jouw school op orde. Afhankelijk van waar jouw schoolbestuur staat, kun je instappen in het Groeipad. Zo bereik je je doelen in een realistisch tempo met maatregelen die passen bij jouw school.
1.5 Verlenging programma Digitaal Veilig Onderwijs
Het Dreigingsbeeld Cybersecurity 2025 laat zien dat het aantal cyberaanvallen in het primair en voortgezet onderwijs sinds 2023 is toegenomen. Daarom roept Staatssecretaris Koen Becking (Onderwijs, Cultuur en Wetenschap) schoolbesturen op om hier nu mee aan de slag te gaan (artikel PO-Raad, artikel VO-raad). Er is oog voor de inspanningen die schoolbesturen moeten leveren om digitaal veilig onderwijs te realiseren. Zij krijgen daarom tot 2030 de tijd om te voldoen aan volwassenheidsniveau 3 van het Normenkader IBP. Staatssecretaris Becking heeft besloten het programma DVO te verlengen tot en met 2029. Vanaf 1 januari 2027 moeten zij weten waar ze staan ten opzichte van het Normenkader IBP door middel van een zelfevaluatie. Ook moet er dan een plan zijn om volwassenheidsniveau 3 op alle normen te bereiken.
Partners
Partners
