Het onderwijs wordt, net als vele andere sectoren, steeds afhankelijker van ict. We gebruiken vaker digitale middelen voor het geven van onderwijs, voor administratieve processen gebruiken we vaak een cloudomgeving en digitale systemen en schoolorganisaties verwerken persoonlijke informatie van leerlingen en medewerkers. Als systemen niet meer benaderbaar zijn, kunnen gegevens over leerlingen en studenten op straat komen te liggen. Ook kan de continuïteit van het onderwijs dan in gevaar komen.
Een digitaal veilige schoolomgeving voor alle leerlingen is dus heel belangrijk. Het Dreigingsbeeld Funderend Onderwijs is onderdeel van het programma Digitaal Veilig Onderwijs. De publicatie bevat een overzicht van de meest relevante en actuele cyberdreigingen voor het funderend onderwijs. Je vindt er ook handvatten om met deze dreigingen om te gaan. Door risicoanalyses uit te voeren, kun je bepalen welke cyberdreiging voor jouw school het meest relevant is.
Meest relevante dreigingen
De vijf meest relevante dreigingen die uitgelicht worden in dit dreigingsbeeld zijn:
- Datalekken
Een datalek wordt vaak veroorzaakt door een cyberincident zoals het binnenhalen van malware, of phishing, spoofing of hacking, of per ongeluk door handelingen van medewerkers. Bij een datalek raken persoonsgegevens verloren, of ze worden ingezien, opgeslagen, aangepast, verzonden of op een andere manier verwerkt door iemand die daar geen recht toe heeft. - Distributed Denial of Service-aanvallen (DDoS-aanvallen)
Een DDoS-aanval is een aanval waarbij het doel is het systeem onbeschikbaar te maken. Een aanvaller verstuurt zo veel verzoeken dat het systeem het niet meer aan kan, waardoor bijvoorbeeld de internetverbinding uitvalt of een applicatie niet beschikbaar is. - Ransomware
Met ransomware (gijzelsoftware), worden systemen geblokkeerd of (persoons)gegevens gegijzeld waarna losgeld wordt gevraagd. Hierdoor kan het onderwijs stil komen te liggen. - Afhankelijkheid van leveranciers en clouddiensten
De onderwijssector gebruikt veel Software as a Service (SaaS-)oplossingen. Dit gaat om applicaties en software die onderwijsorganisaties als online dienst aanschaffen en niet zelf beheren. Dat biedt voordelen, zoals specifieke kennis bij de leveranciers op het gebied van cybersecurity, maar SaaS brengt ook risico’s met zich mee. Bijvoorbeeld als er te weinig controle is op naleving van de afspraken (bijvoorbeeld door gebrek aan personeel) of door een incident in de leveranciersketen. - Identiteitsfraude en manipulatie van data
Denk bij dreiging van identiteitsfraude en manipulatie van data aan leerlingen die toegang proberen te krijgen tot het leerlingvolgsysteem om hun cijfers aan te passen. Of die het account van de leraar proberen over te nemen om geheime informatie te verkrijgen over toetsen.
Risicomanagement
Weerbaar zijn tegen cyberdreigingen gaat uiteindelijk over risicomanagement: welke risico’s zijn er en welke zijn we bereid te accepteren? Het bevoegd gezag moet bepalen welke risicobereidheid er is en of risico’s acceptabel zijn of verkleind moeten worden. Het Normenkader IBP voor het Funderend Onderwijs beschrijft verschillende normen voor het inrichten van risicomanagement, het uitvoeren van risicoanalyses en het koppelen van risico’s aan beheersmaatregelen. Je kunt dit cyberdreigingsbeeld gebruiken als input voor risicomanagement en de risicoanalyses die je zelf uitvoert. Welke dreigingen zijn voor jou het meest relevant en voor welke systemen of processen is die dreiging het grootst? Als jullie bepaalde processen of systemen uitbesteden, is het ook belangrijk om je leverancier te bevragen: welke maatregelen heeft die genomen tegen de dreigingen die voor jouw school relevant zijn?