- Praktijkvoorbeeld
- |
- Informatiebeveiliging en privacy
- |
- po
‘Je moet niet te bang zijn, maar gewoon beginnen’: zo pakt een eenpitter het Normenkader IBP aan
Voor kleine schoolbesturen kan het Normenkader Informatiebeveiliging en Privacy (IBP) een flinke opgave lijken. Waar begin je als je geen groot ICT-team hebt en veel zelf moet uitzoeken en uitvoeren? Olivier van Dinteren – ICT-coördinator van de Hilversumse Schoolvereniging (HSV) – nam deze taak op zich, kreeg de benodigde uren en besloot gewoon te beginnen. Met de deelprojecten van Groeipad, de zelfevaluatie van Kennisnet en het Normenkader IBP werkdocument werkt hij op een efficiënte manier aan informatiebeveiliging en privacy op school. Zijn belangrijkste les: je hoeft niet alles vooraf te weten om te kunnen starten.
Door de redactie
Een dure nulmeting of zelf aan de slag?
Olivier is werkzaam als ICT-coördinator en beleidsadviseur bij de Hilversumse Schoolvereniging (HSV) en helpt daarnaast scholen bij de implementatie van digitale geletterdheid, onder andere met visievorming, leerlijnontwikkeling en beleid.
Toen het Normenkader IBP werd gelanceerd ging ook zijn directie op zoek naar manieren om ermee aan de slag te gaan. Aanvankelijk kwamen ze terecht bij een leverancier voor een nulmeting. De kosten kwamen uit op bijna 3.000 euro. Dat zette hem aan het denken. “We zagen in dat je daar niet eens zo veel aan hebt. Het geeft wel inzicht in waar je staat, maar uiteindelijk moet je het toch zelf gaan uitvoeren.”
Olivier besloot om zelf een nulmeting uit te voeren met behulp van de zelfevaluatietool van Kennisnet. Daarvoor moest hij zich ook in de normen zelf verdiepen en zo ontdekte hij het Groeipad van Kennisnet. Dat sprak hem aan.
Bestaande processen inzichtelijk maken
Omdat Olivier de organisatie en de dagelijkse praktijk goed kent, kon hij het volwassenheidsniveau van veel normen zelf goed inschatten. Hij ontdekte dat zijn school veel processen eigenlijk al goed uitvoerde, maar dat die processen niet altijd goed waren beschreven. De uitdaging was dus niet om alles opnieuw te bedenken, maar om bestaande werkprocessen inzichtelijk te maken en formeel vast te leggen. De deelprojecten van het Groeipad ondersteunen hem bij zijn aanpak. Per deelproject leest hij de uitleg, bekijkt hij de voorbeelddocumenten en onderzoekt hij wat de school al heeft. Hij legt bestaande beleidsstukken en hulpmiddelen naast de richtlijnen van het Groeipad en kijkt waar aanvulling nodig is.
Gestructureerd werken
Olivier heeft een prettige werkwijze gevonden om gestructureerd aan de normen te kunnen werken:
- Hij gebruikt het Excelwerkdocument met de roadmap van Kennisnet voor het inplannen van de verschillende deelprojecten.
- Daarnaast heeft hij een Google Agenda ingericht waarin hij de planning en vervolgacties bijhoudt.
- Waar mogelijk probeert hij gebruik te maken van bestaande documenten en die aan te vullen. Zo heeft hij aan zijn bestaande overzicht van hardware en software (CMDB) 6 tabbladen toegevoegd om verschillende zaken bij te houden.
AI helpt hem bij het uitwerken van documenten. Hij gebruikt AI om informatie uit verschillende bronnen te combineren en conceptdocumenten te maken die passen bij een kleine school. Daarbij houdt hij zelf de regie: hij controleert de uitkomsten en beoordeelt of ze aansluiten bij de praktijk.
Afstemmen en samenwerken
Hoewel Olivier het voortouw neemt bij het werken aan het normenkader, werkt hij niet helemaal alleen. Hij stemt regelmatig af met een collega van de administratie, de directie en de intern begeleider. Vooral om na te gaan binnen welke systemen en processen gegevens worden verwerkt. Hij heeft steun van de schoolleiding en het bestuur voor zijn werkwijze en aanpak en is bezig om in kaart te brengen door wie welke stukken moeten worden vastgesteld. “Ja, daar moet ik nu wel mee gaan beginnen”, erkent hij. “Anders wordt het te veel in één keer. Of het lastig is om te bepalen welke stukken moeten worden vastgesteld? Nee hoor, dat staat heel duidelijk beschreven in elk deelproject.”
Hulp van vakgenoten
Hoewel Olivier zelfstandig een heel eind komt, loopt ook hij soms wel eens vast. Bij sommige deelprojecten is het lastig om te bepalen wat er precies wordt verwacht. Vooral wanneer concrete voorbeelden of sjablonen ontbreken. Hoe weet je dan of je de eisen op de juiste manier vertaald naar de eigen school? In zulke gevallen zoekt hij actief hulp bij het Onderwijsnetwerk Digitalisering. “Toen ik bij deelproject 1.5, Informatiearchitectuur in kaart brengen, was beland, heb ik het onderwijsnetwerk opgezocht. Daar stel ik wel vaker vragen en probeer ik ook weleens iets bij te dragen. Dat is een fijne manier om verder te komen.”
Uitdagingen
De grootste uitdaging van het Normenkader IBP zit voor Olivier niet in het vastleggen van beleid, maar het daadwerkelijk uitvoeren ervan. “Het moet geen papieren tijger worden waar uiteindelijk niemand iets aan heeft. In het Groeipad is ook opgenomen dat je voor jezelf een agenda maakt om zaken te controleren, te rapporteren, het bestuur te informeren en audits uit te voeren. Het moet een doorlopend proces zijn voor elke schoolorganisatie”, zegt hij. Er zal dan ook voortdurend iemand mee bezig moeten zijn.
Tegelijkertijd vraagt Olivier zich af of sommige normen voor een kleine schoolorganisatie niet erg ver gaan. Daarbij valt hem op dat de sectorafspraken weinig onderscheid lijken te maken tussen de omvang en organisatiekracht van schoolbesturen. “Een kleine schoolorganisatie met één bestuurder heeft nu eenmaal andere mogelijkheden en beschikbare capaciteit dan een grote instelling in het voortgezet onderwijs met veel leerlingen en medewerkers of een basisschool die onder een groot bestuur valt. Het is belangrijk om oog te hebben voor die verschillen. Bijvoorbeeld bij de manier waarop aan normen wordt voldaan en waarop de naleving wordt getoetst.”
Daarom maakt hij bewuste keuzes op basis van de risico’s en de beschikbare capaciteit. “Het doel is immers om leerlingen en medewerkers goed te beschermen, zonder maatregelen op te stellen die in de praktijk niet uitvoerbaar zijn.”
Werken aan bewustwording
Een succesvolle implementatie van het normenkader valt of staat in de ogen van Olivier bij het bewustwordingsniveau van medewerkers. “Informatiebeveiliging is niet alleen een ICT-kwestie. De afspraken moeten ook in de dagelijkse praktijk worden nageleefd. Daarvoor moeten de mensen die ermee werken begrijpen wat er van hen wordt verwacht”, vervolgt Olivier. Hij ziet kansen om informatiebeveiliging meer te verbinden met onderwerpen die medewerkers herkennen uit hun dagelijkse werk. “Leraren voelen echt de urgentie als het gaat om het goed omgaan met leerlinggegevens. Maar tegelijkertijd is het hele IBP-verhaal ook een ver-van-hun-bedshow. Natuurlijk vindt iedereen het belangrijk om zorgvuldig om te gaan met gegevens van leerlingen. Ik probeer daarom te zoeken naar manieren om het onderwerp ook voor leraren relevant te maken.”
Een passend account in plaats van volledige toegang
Dat bewustzijn zit soms in kleine, dagelijkse beslissingen. “Een collega kan mij bijvoorbeeld vragen om uitgebreidere toegangsrechten in het leerlingadministratiesysteem. Je kunt zo’n verzoek klakkeloos inwilligen, maar je kunt je ook afvragen: wat heeft iemand in dit geval nu echt nodig? Dan ga je met iemand is gesprek en dan kom je samen tot te conclusie dat een invalaccount ook volstaat.” Daarmee kan iemand wel bij het lesmateriaal van de betreffende groepen, zonder toegang te krijgen tot alle leerlinggegevens.
Informatiebeveiliging is niet alleen een ICT-kwestie. De afspraken moeten ook in de dagelijkse praktijk worden nageleefd.
Zo’n voorbeeld laat zien hoe informatiebeveiliging onderdeel kan worden van de dagelijkse praktijk: niet automatisch toegang verlenen omdat iemand daarom vraagt, maar eerst nagaan welke gegevens en systemen iemand nodig heeft om het werk goed te kunnen doen.
Tips en adviezen
Olivier heeft nog een aantal tips en adviezen voor andere eenpitters en kleine besturen:
- Draagvlak en gevoel van urgentie. Voordat je begint is het van essentieel belang dat er een gevoel van urgentie en draagvlak is bij je directie en de bestuurder.
- Begin gewoon. Olivier raadt aan gewoon te beginnen en je niet meteen te laten verleiden tot het inhuren van externe hulp of het opzetten van grote projecten. Met kennis van de eigen organisatie, de zelfevaluatie en de roadmap van Kennisnet kun je al veel zelf in kaart brengen. Vervolgens kun je per deelproject bepalen wat er nodig is en waar aanvullende ondersteuning zinvol is.
- Blijf niet wachten tot alles duidelijk is. Olivier benadrukt dat je vooral niet moet blijven wachten tot alles duidelijk is. “Je moet het ook gewoon doen en dan zie je vanzelf waar je tegenaan loopt. Je kunt dan altijd nog hulp van buiten inroepen.”
- Zorg dat je er tijd voor krijgt. Een belangrijke voorwaarde om aan het normenkader te kunnen werken, is tijd. Olivier is één dag per week op de HSV aanwezig voor alle ICT-taken. Op zo’n dag komt hij vaak niet echt toe aan het werken aan het Normenkader IBP. Daarom krijgt hij tijdelijk drie extra uren om ook deze taken uit te voeren.