IB Awareness. Veilig computergebruik door student en medewerker. Martin Romijn Security Officer Functionaris voor de gegevensbescherming

Maat: px

Weergave met pagina beginnen:

Download "IB Awareness. Veilig computergebruik door student en medewerker. Martin Romijn Security Officer Functionaris voor de gegevensbescherming"

Lotte Molenaar
7 jaren geleden
Aantal bezoeken:

1 IB Awareness Veilig computergebruik door student en medewerker Martin Romijn Security Officer Functionaris voor de gegevensbescherming

2 Agenda Doelstelling Kennismaking Highlights door de jaren De betrokkenen Business case De doelgroepen met boodschap en middel Meten effectiviteit Leerpunten awarenessonderzoek Afsluiting, vragen 2

3 Doelstelling De HU aanpakken uitleggen: hoe medewerkers en studenten bekend gemaakt wordt welke rechten en plichten zij hebben op het gebied van het veilig omgaan met informatie. Illustreren van de daarbij ingezette middelen: adviesgesprekken communicatiecampagnes periodieke controles het intranet van de hogeschool goede contacten in de organisatie. Want informatie beveiliging kan iemand niet alleen! 3

4 Kennismaking HU organisatie: Budget: 245 mln Faculteiten: 6 Instroom: studenten Laptops via wireless Medewerkers: Opleidingen (bachelor): 75 Studenten: Werkplekken: Martin Romijn: Security Officer Functionaris Gegevensbescherming martin.romijn@hu.nl 4

5 Highlights door de jaren 2001: Open deur campagne medewerkers 2002: Campagne; o.a. posters, mails en key cords 2003: Campagne; o.a. bureaubladen en prijsvraag 2004: Campagne, IB onderzoek 2005: Sleutelhanger, lippenbalsum 2006: Surf campagne, waaier en : cursus en? 5

6 De betrokkenen College van Bestuur inclusief CMR Juridische Zaken Centrale stafdiensten Faculteiten (6x) Studenten Directies incl. FMR s Informatiemanagers Facilitair managers P&O Intermediairs Informatiemanagement - Functioneel beheerders - Security Officer/FG-p SSC ICT - Mgt Team - Security Manager - Beheerders 6

7 De business case Voor de organisatie, collectief: Voldoen aan wettelijke verplichtingen Voorkomen schade Uurverlies Kosten voor herstel Imago What s in it for me? Beschikbare informatie Bruikbare informatie Privacy blijft gehandhaafd Geen kosten/baten analyse, wel ambitieniveau bepalen. 7

8 Doelgroepen Eerstejaars en hogerejaars studenten Nieuwe en huidige medewerkers Beheerders Administraties Docenten Studiebegeleiders Leidinggevenden Secretariaten 8

9 De doelgroep studenten Eerstejaars Hogerejaars Boodschap Er zijn ICT gedragsregels waar ik mij aan moet houden. De ICTgedragsregels leveren voordelen voor mij op. Middelen Informatie samen met inloggegevens meesturen. Screensaver, posters, prijsvraag, website, Trajectum. Screensaver, posters, prijsvraag, website, Trajectum. 9

10 De doelgroep medewerkers Doelgroep Personeelsleden Administratief medewerkers (P&O, studentadmin) Leidinggevenden Informatiemanagers Studentbegeleiders Boodschap Er zijn ICT-gedragsregels waar ik mij aan moet houden. De ICT-gedragsregels leveren voordelen voor mij op en dragen bij aan de bescherming van mijn persoonsgegevens en privacygevoelige informatie van mijn werk. In mijn werk heb ik te maken met privacygevoelige informatie. Ikben medeverantwoordelijk voorde beveiliging van deze gegevens en ik ben daarom goed op de hoogte van ICT-gedragsregels waar ik mij aan moethouden. Het is belangrijk dat er ICT-gedragsregels zijn en dat ik in de uitvoering van de campagne een actieve rol speel. In mijn werk zijn de ICT-gedragregels van grootbelang. Ikspeeldan ookeenactieve rol in de communicatie van deze regels. In mijn werk zijn de ICT-gedragregels van grootbelang. Ikspeeldan ookeenactieve rol in de communicatie van deze regels. Middelen Website, posters, ICT nieuwsbrief, personeelsbladen, Trajectum. Kaartje, posters, informatiebijeenkomst. Wanneer er budget over is willen we deze groep eengive-away geven. Adviesgesprekken, jaarverslag FG Brief vanuit faculteitsdirectie. Deze groep wordt ook geïnformeerd door de informatiemanagers. Incidentenrapportage Afstemming in informatiemanagersoverleg. Informatie van de informatiemanagers. 10

11 Professionele campagnes Marketing & Communicatie Offerte Projectplan met: Doelgroepen Boodschap Communicatiemiddelen Kosten Planning 11

12 Boodschap generiek Laat de pc waarop je bent aangemeld niet onbeheerd achter; Geef je wachtwoord niet aan anderen; Haal brieven en lijsten met vertrouwelijke gegevens direct bij de printer op; Open geen bijlagen bij mails die er onbetrouwbaar uitzien; Gebruik ICT waar het voor bedoeld is; Meldt onduidelijkheden en missers; 12

13 De boodschap aan beheerders 1. Wachtwoorden voldoen aan de HU conventies; 2. Wachtwoorden in jobs zijn goed afgeschermd; 3. Gebruikers en beheerders hebben niet meer rechten (in applicatie, systeem) dan nodig; 4. Tussenbestanden in koppelingen zijn afdoende afgeschermd; 5. Downloads worden op een afgeschermde plaats neergezet; 6. Testomgevingen (met vaak kopie productie!) zijn afdoende afgeschermd; 7. Patches en nieuwe versies worden goed getest; 8. Restore wordt periodiek getest; 9. Nood-/fallback/recovery scenario's zijn afgestemd. 13

14 Boodschap aan administraties 1. Verwerk alleen indien doelgebonden 2. Inzage door student is toegestaan 3. Informeren over verwerking bij vragen 4. Gegevens niet aan derden verstrekken 5. Bewaar niet langer dan toegestaan 6. Houdt je wachtwoord geheim 7. Conform CAO: geheimhoudingsplicht 14

15 Resumé middelen Brieven / interne memo s Gesprekken (met achterlaten checklist) Incident- en auditrapportages Jaarverslagen Key cords, lipbalsem, waaier Mails ICT Nieuwsbrief Posters Prijsvraag Bureaublad en screensaver Trajectum Websites (informatiebeveiliging en ict.hu.nl 15

16 Jaarcyclus advies en controle Initiële activiteiten Volgen Ontwikkelingen 16

17 Vragen prijsvraag 1. Wat is geen aspect van IB? 2. Welke attachments kun je zonder bezwaar openen? 3. Wat is geen gedragsregel van ? 4. Wat is een goed gebruikerswachtwoord? 5. Op wie zijn de gedragsregels van toepassing? 6. In welke wet is de privacy geregeld? 7. Wat is de snelste manier om je PC te locken? 17

18 Antwoorden prijsvraag In welke wet is de privacy geregeld Wat is de snelste manier om je PC te locken Wet bescherming persoonsgegevens Wet bescherming privacy Wet bescherming gegevensgebruik Wet beperking privégegevens <Ctrl>-<Alt>-<Delete> - Computer vergrendelen (Lock Workstation) Windows-key + 'L' <F12>- = Rechtermuisknop- Eigenschappen - Vergrendelen 18

19 19

20 20

21 21

22 Actielijst Actiepunt Doelgroep Inhoud Verantwoordelijk Deadline Screensaver Studenten Kort berichten over informatiebeveiliging Servicebureau September Afstemmen informatiemanagersoverleg Informatiemanagers Medewerking verkrijgen. Martin Romijn Juli t/m eind van hetjaar Brief leidinggevende Leidinggevende Belang aangeven, campagne uitleggen. Goodwill kweken. Martin Romijn Juli Informatiebijeenkomsten administraties Administratief medewerkers (personeel, studenten) Invloed van de regels op de werkzaamheden uitleggen. Martin Romijn Augustus / september Prijsvraag Studenten Door posters en banner de studenten sturen naar een prijsvraag op de website. Servicebureau September 22

23 Meten effectiviteit Count geopende berichten Site statistics Onderzoek (maart november 2004) Incidenten Kosten: Ontwerp e-card flash, met beelden: Bouw e-card: 225 Lipbalsem: 23

24 Een security scorecard (aanzet) Financieel perspectief Uitputting geld en uren in % Schade door vermijdbare risico s (verzekeren?) Besteding per student in bedrag Klantperspectief Aantal incidenten Beschikbaarheid services Imago-schade Niveau rest-risico Intern perspectief (proces) Actualiteit security patches Geïnstalleerde advisories Effectiviteit spamfilter Actualiteit security site Groei & leer perspectief Effectiviteit communicatiecampagne Aantal wijzingen buiten releases om in % Medewerkers bij info bijeenkomsten 24

25 Leerpunten onderzoek (1) De implementatiekwaliteit van het IB beleid Het veld: Primair proces HU De eenheden: 25 medewerkers FEM & FG De aanpak: kwalitatief (diepte-interviews) 25

26 Leerpunten onderzoek (2) Aanbevelingen 1. Intergreer fysieke en digitale beveiliging 2. Controleer op fysieke beveiliging, bv. via checklist 3. Organiseer samenwerking tussen betrokken partijen 4. Verantwoordelijkheid beveiliging ligt bij iedereen! Maak ICT beveiliging onderdeel van functieomschrijving Investeer op lokatie Zorg voor een lokaal beveiligingscontactpersoon, zoals teamleider 26

27 Aanleiding: IB Incidenten Datum Incident 3-1 HU website niet beschikbaar tijdens Kerst 11-1 MyNetWatchman.com (USA) meldt dat vanuit de HU Denial of Service attacks plaatsvinden 26-1 Netwerk performance dramatisch laag door misbruikte bug in Microsoft SQL server 29-2 HU op de SpamCob zwarte lijst vanwege spam van de HU mailservers 31-3 Mail van Interpolis dat HU website vertrouwelijke informatie bevat 12-4 Stichting BREIN meldt aanwezigheid van commercieel materiaal (muziek CD s, James Bond films) op een HU server 27-4 Honderden verloren supporturen door gebruikersvragen over spam en herinstallaties door spy-ware 27

Vergelijkbare documenten

Privacy-AO voor een beveiliger Martin Romijn

Privacy-AO voor een beveiliger Martin Romijn Functionaris voor de gegevensbescherming Security Officer Onderwerpen AO van Security Officer (SO) Kader Incidenten en vragen AO Functionaris Gegevensbescherming