Waar staan schoolbesturen in het funderend onderwijs op het gebied van informatiebeveiliging? Zijn zij goed voorbereid op een mogelijke cyberaanval? Of moet er nog een tandje bij? In een onafhankelijk en representatief onderzoek onder 15 schoolbesturen, met samen 80.000 leerlingen, is gekeken waar zij staan ten opzichte van het Normenkader Informatiebeveiliging en Privacy Funderend Onderwijs. Uit de resultaten blijkt dat, ondanks de verschillen tussen de besturen, nog geen enkel schoolbestuur volledig voldoet aan de normen en de verantwoordelijkheid voor digitaal veilig onderwijs. Besturen moeten daarom aan de slag om een digitaal weerbare en veilige schoolorganisatie te worden. Om hierbij te ondersteunen biedt het programma Digitaal Veilig Onderwijs handvatten en leidraden.

De nulmeting Normenkader IBP FO laat zien hoe schoolbesturen er nu voor staan en brengt de belangrijkste aandachtspunten in kaart op het gebied van informatiebeveiliging. Ook legt het de obstakels bloot die schoolbesturen ervaren bij het toepassen van het normenkader.

Resultaten nulmeting Normenkader IBP FO

Er was veel animo bij de 15 besturen om mee te doen aan het onderzoek. Schoolbesturen willen graag weten waar ze staan en dit ook zelf kunnen meten en benchmarken. Veel schoolbesturen zijn op de goede weg met informatiebeveiliging, maar er moet ook nog veel gebeuren om aan alle normen te voldoen. 

Uit het onderzoek blijkt onder andere dat informatiebeveiliging afhankelijk is van een kleine groep mensen die er binnen een schoolbestuur verantwoordelijk voor is. Daardoor dringt de noodzaak ervan niet in alle lagen van de organisatie door. Bestuurders en onderwijspersoneel zijn zich lang niet altijd bewust van het belang van informatiebeveiliging en privacy.  

Ook geeft het grootste deel van de besturen in het onderzoek aan dat er geen crisis- of herstelplannen zijn bij noodsituaties. Bij een groot incident zijn zij niet (goed) voorbereid en weten zij niet of scholen in dat soort situaties de normale werkzaamheden kunnen voortzetten. Vaak ontbreekt ook specifiek beleid voor toegangsbeveiliging in systemen en is er geen monitoring op toegangsrechten en gebruikers. Daardoor kunnen besturen niet proactief risico s ontdekken en preventief incidenten voorkomen. 

In de praktijk merken besturen ook dat de beleidsmatige eisen van scholen niet overeenkomen met wat leveranciers leveren. Scholen gaan dan vaak toch akkoord met de overeenkomsten van leveranciers, terwijl het belangrijk is dat zijzelf regie houden op hun inkoop. 

Deze versturen we 3-4x per jaar.