- Uitleg
- |
- Informatiemanagement
Zo helpt informatiemanagement je bij het Normenkader IBP
Welke systemen gebruikt je school, waarvoor worden ze ingezet en wie is verantwoordelijk? Het zijn vragen die je tegenkomt als je werkt aan het Normenkader Informatiebeveiliging en Privacy (IBP). Maar het is niet altijd eenvoudig om dit in kaart te brengen. We leggen hier uit hoe informatiemanagement daarbij kan helpen en kan bijdragen aan het uitvoeren van de deelprojecten 1.5, 1.6 en 1.7 van het Groeipad.
Door Sonja Steiger
De basis voor het op orde krijgen van IBP
De meeste scholen hebben ergens een overzicht van alle applicaties die ze gebruiken. Maar heb je ook een overzicht van de informatie die medewerkers daarin verwerken? Weet je binnen welke processen die applicaties worden gebruikt? En is er een eigenaar van de applicaties? Om passende maatregelen voor informatiebeveiliging en privacy te nemen, heb je al deze kennis nodig. Daarom werk je hieraan in fase 1 van het Groeipad. In deelproject 1.5 werk je aan een hoofdprocesmodel, in deelproject 1.6 aan een overzicht van systemen en hardware en in deelproject 1.7 classificeer je die systemen op basis van de gevoeligheid van de informatie die erin wordt verwerkt en hoe kritiek de processen zijn waarvoor ze worden ingezet. Samen vormen de resultaten van deze deelprojecten de basis om verder te werken aan IBP.
Voor de bestuurder: overzicht helpt je keuzes maken
Welke systemen zijn onmisbaar voor het onderwijs? Welke verbeteringen verdienen voorrang? En wie mag beslissen over de aanschaf, het gebruik en de vervanging van applicaties? Als bestuurder maak je keuzes die gevolgen hebben voor de continuïteit van het onderwijs, de bescherming van informatie en de inzet van middelen. Informatiemanagement ondersteunt je door processen, informatie en systemen in samenhang zichtbaar te maken. De overzichten uit deelprojecten 1.5, 1.6 en 1.7 kunnen je helpen bij de volgende bestuurlijke afwegingen:
- Prioriteiten bepalen. Inzicht in de afhankelijkheid van systemen en de gevolgen van uitval helpt om te bepalen welke verbeteringen als eerste aandacht en middelen krijgen.
- Verantwoordelijkheden beleggen. Duidelijk proces- en systeemeigenaarschap maakt inzichtelijk wie inhoudelijke afwegingen maakt, wie besluiten neemt en wanneer een vraag bij het bestuur thuishoort.
- Investeringen onderbouwen. Inzicht in het gebruik van systemen helpt om te beoordelen of een aanschaf nodig is, waar overlap zit en wat een verandering betekent voor onderwijs en bedrijfsvoering.
De waarde van deze overzichten zit in wat ze betekenen voor bestuurlijke keuzes: welke afhankelijkheden en knelpunten zijn er, welke besluiten vragen die en wie volgt de uitvoering op? Informatiemanagement helpt om deze vragen te beantwoorden en verbindt zo het werken aan het normenkader met de sturing op je organisatie.
Informatiemanagement brengt kennis bij elkaar
De kennis die nodig is voor de deelprojecten 1.5, 1.6 en 1.7 is vaak wel ergens in de organisatie bekend, maar is meestal versnipperd. Zo weet de afdeling ICT welke systemen worden beheerd. De medewerkers weten welke applicaties zij gebruiken en leraren weten wat nodig is om bijvoorbeeld de leerlingbegeleiding of het examineren goed te laten verlopen. De informatiemanager brengt al deze kennis bij elkaar. Dat betekent niet dat je een informatiemanager moet aannemen, maar het is wel belangrijk om deze taken bij iemand te beleggen. Dat kan een ICT-coördinator, beleidsmedewerker of schoolleider zijn. Stem dus af wie deze rol in jouw organisatie vervult. Met ‘informatiemanager’ bedoelen we in dit artikel iedereen die verantwoordelijk is voor de taken van een informatiemanager.
Lees meer over informatiemanagement op schoolDeelproject 1.5: Breng de processen van je organisatie in kaart
Bij deelproject 1.5 maak je een zogeheten hoofdprocesmodel. Dat is een overzicht van alle processen in je organisatie. Denk aan het proces voor het aanmelden van een leerling, aan het afhandelen van verzuim of toetsing. Per proces leg je vast wie de eigenaar is en wie ervoor verantwoordelijk is. Je kunt dit uitwerken in een Exceldocument, op een groot vel papier of met speciale software. Heb je de processen en eigenaren vastgelegd? Dat is voor dit deelproject voldoende. Je hoeft geen volledige informatiearchitectuur uit te werken.
De informatiemanager neemt het voortouw bij het opstellen van het hoofdprocesmodel. De FORA kan daarvoor als startpunt dienen. Samen met collega’s controleert de informatiemanager of het model van de FORA past bij de eigen organisatie en past het indien nodig aan. De IBP-verantwoordelijke weet vervolgens bij wie welke inhoudelijke vragen thuishoren. De rol van informatiemanager en die van de IBP-verantwoordelijke kunnen door dezelfde persoon worden vervuld, maar dat hoeft niet.
Aan de slag met deelproject 1.5 op de website van de FORA helpt je op weg.
Deelproject 1.6: Maak een overzicht van je systemen en hardware
Bij deelproject 1.6 leg je in een configuratiemanagementdatabase (CMDB) vast welke software en hardware je gebruikt in je organisatie. Je kunt hiervoor een speciale tool gebruiken, zoals Applicatielandschap in kaart, maar het kan ook in Excel. In zo’n tool of Excelbestand registreer je de software en hardware die je gebruikt inclusief alle relevante kenmerken, zoals wie verantwoordelijk is voor het systeem (de systeemeigenaar) en licentiegegevens.
De informatiemanager speelt hierin een belangrijke rol. Deze brengt de applicaties binnen de organisatie in kaart en brengt hierin structuur aan. Daarbij maakt de informatiemanager inzichtelijk welke bedrijfsprocessen de applicaties ondersteunen, tot welk type ze behoren en welke functionaliteiten ze bieden. Vervolgens moet voor iedere applicatie een systeemeigenaar worden aangewezen. De ICT-beheerder, leverancier en/of systeemeigenaren zijn verantwoordelijk voor het invoeren van de gegevens en het verwerken van wijzigingen.
Aan de slag met deelproject 1.6 op de website van de FORA helpt je op weg.
Deelproject 1.7: Bepaal welke bescherming systemen nodig hebben
Een leerlingadministratiesysteem vraagt mogelijk om andere beveiligingsmaatregelen dan een applicatie om lokalen te reserveren. Met een BIV-classificatie breng je in beeld welke bescherming een systeem nodig heeft. BIV staat voor beschikbaarheid, integriteit en vertrouwelijkheid. Bespreek daarbij de volgende vragen:
- Beschikbaarheid: wat zijn de gevolgen als het systeem uitvalt?
- Integriteit: wat zijn de gevolgen als gegevens onjuist of onvolledig zijn?
- Vertrouwelijkheid: wat zijn de gevolgen als informatie bij onbevoegden terechtkomt?
De informatiemanager maakt zichtbaar welke processen afhankelijk zijn van het systeem. Proces- en systeemeigenaren helpen om de gevolgen van verstoringen te beschrijven. De IBP-verantwoordelijke ondersteunt bij het opstellen en invoeren van het classificatieproces.
Spreek af wie wat doet
In onderstaand overzicht zie je wie wat doet bij het werken aan deelprojecten 1.5, 1.6 en 1.7. Beleg ook expliciet wie eigenaar is van het configuratiemanagementproces en het BIV-classificatieproces. Deze eigenaren zorgen dat de werkwijze wordt ingericht en onderhouden.
| Rol | Verantwoordelijkheid |
|---|---|
| Schoolbestuur | Belegt eigenaarschap, maakt tijd en middelen beschikbaar en stelt de benodigde modellen en processen formeel vast. |
| Informatiemanager | Verbindt proceskennis en applicatiegebruik en brengt de juiste collega’s bij elkaar. |
| IBP-verantwoordelijke | Brengt beveiligings- en privacykennis in en ondersteunt het werken aan het normenkader. |
| Proceseigenaar | Toetst het procesoverzicht en beschrijft informatiebehoeften, benodigde systemen en gevolgen van verstoringen. |
| Systeemeigenaar | Brengt kennis van het gebruik en belang van het systeem in en voert de afgesproken taken uit. |
| ICT-beheer | Levert technische beheerinformatie en verwerkt wijzigingen volgens de beheerafspraken. |
Voorbeeld: een begeleidingsafspraak raakt uit beeld
Een ouder neemt contact op met school: er was extra begeleiding afgesproken na herhaald verzuim, maar die is niet gestart. De mentor die een collega vervangt, kan de afspraak niet terugvinden in het leerlingadministratiesysteem. Uit navraag blijkt dat de afspraak is vastgelegd in een spreadsheet in een gedeelde map in de omgeving van het zorgteam. De vervangende mentor wist niet dat dit bestand bestond.
In het applicatieoverzicht staat bij leerlingbegeleiding het leerlingadministratiesysteem, maar het gebruik van deze spreadsheets wordt niet vermeld. De informatiemanager besluit naar aanleiding van deze casus bij de betrokken medewerkers na te gaan hoe zij begeleidingsafspraken vastleggen en overdragen. Het leidt ertoe dat het applicatieoverzicht wordt uitgebreid met de gedeelde map en spreadsheets. Zo heeft iedereen zicht op de informatie die medewerkers nodig hebben om de begeleiding voort te zetten, ook als een collega afwezig is.
Tips en adviezen
Ga je aan de slag met een van de deelprojecten? Houd dan rekening met onderstaande tips en adviezen.
- Maak gebruik van wat je al hebt. Je hoeft niet altijd vanaf nul te beginnen. Verzamel applicatielijsten, procesbeschrijvingen en andere registraties die al bestaan. Gebruik deze als basis en ga vervolgens na wat nog ontbreekt. Een bestaand systeemoverzicht kan bijvoorbeeld een handig startpunt zijn voor deelproject 1.6. Gebruik de inzichten over processen uit deelproject 1.5 om te bepalen waarvoor die systemen nodig zijn.
- Inzicht vergroten. De deelprojecten 1.5, 1.6 en 1.7 geven heel veel inzicht in het functioneren van je organisatie en daar heeft iedereen wat aan. Als bestuurder kun je zo keuzes en prioriteiten beter onderbouwen. Als informatiemanager ontdek je welke proces- en applicatiekennis nodig is voor IBP. Voor een IBP-verantwoordelijke wordt het uitvoeren van andere maatregelen makkelijker. De overzichten helpen bijvoorbeeld bij het opstellen van het verwerkingsregister en impactanalyses.