Wat moet je weten over... informatiebeveiliging en privacy (IBP)? Axel Eissens (Kennisnet)

Transcriptie

1 Wat moet je wete over... iformatiebeveiligig e privacy (IBP)? Axel Eisses (Keiset)

2 Programma 1. Risicoaalyse 2. Classificatie 3. Verwerkige 4. DPIA 5. Bewaartermije 6. Bewustwordig 7. Dataregister Bewustwordig Risicoaalyse Bewaartermije Dataregister Classificatie DPIA Overzicht verwerkige 2

4 Ee risicoaalyse geeft o.a. atwoord op: Wat zij de risico s bij de izet va sociale media i de klas? - Wat kue we doe om die risico s te beperke? Wat zij de grootste risico s bij het gebruik va het leerligvolgsysteem? - Hoe zorge we dat het goed beschikbaar is? - Hoe bescherme we de privacy va leerlige? Wat zij de risico s va het dele va documete met extere partije? - Hoe houde we die risico s laag? 4

5 Hoe voer ik ee risicoaalyse uit? Verzamel mese met verschillede rolle e take: Gezamelijk uitvoere stimuleert bewustwordig Verschillede rolle e take geve adere izichte Kijk same aar: De situatie op school Wat je allemaal hebt Waar de risico s zitte Welk beeld me heeft va de gevolge Gebruik de uitkomste om: Te prioritere welke risico s je eerst aapakt Te bepale hoe ku je de risico s kut beperke Wat zij de risico s? Deze pakke we aa! 5

6 Persoosgegeves op school Va wie? Met wie? Foto s Leerresultate NAW-gegeves Salarisstroke Wat? Bekostigig Admiistratie Techische loggig Zorggegeves Beeld- e geluidsopames Overdracht leerligdossier Persoeelsdossiers Wachtwoorde... 6

7 Voorbeelde va wat je hebt Mese Docete Bestuurder Admiistratie Apparatuur Servers Laptops Priters Programmatuur Website Applicaties Gegeves Persoeelsgegeves Verzamelige (databases) Omgevig Locatie va de school Gevaarlijke stoffe i de buurt Orgaisatie Imago Take, bevoegdhede e veratwoordelijkhede Dieste va derde GWE Iteret Software otwikkelaars 7

8 Voorbeelde va wat er ka gebeure Mese Wegvalle Oopzettelijke foutieve hadelige Opzettelijke foutieve hadelige Apparatuur Verouderig e slijtage Verielig Programmatuur Otwerp- e programmeerfoute Gebrekkig teste Virusse Gegeves Foute i rapportages Diefstal of zoekrake Omgevig Natuurgeweld Terrorisme Brad Orgaisatie Imagoschade Oduidelijke veratwoordelijkhede Dieste va derde Uitval elektriciteit Faillissemet, fusie e overame Niet akome va verplichtige Ovoldoede capaciteit 8

9 Wat is ee risico? Ee risico is: <ee ogeweste situatie> als gevolg va <ee feit> door <oorzaak va dat feit> Bijvoorbeeld: De digitale toets ka iet doorgaa als gevolg va het feit dat de iteretsite iet beschikbaar is door ee DDoS-aaval bij de leveracier. Ee risico heeft ook ee kas e ee impact. 9

10 Wat is de kas e impact? De ischattig va kas e impact is altijd subjectief. Spreek daarom af wat je uitgagspute zij, bijvoorbeeld: Kas waarschijlijkheid va het optrede va ee risico: Klei (1) ka mider da jaarlijks voorkome Middel (3) ka meerdere kere per jaar voorkome Groot (5) ka dagelijks voorkome Impact effect waeer het risico optreedt: Klei (1) verstorig iet-primair proces, allee iter merkbaar Middel (3) verstorig primair proces, exter merkbaar, sel opgelost Groot (5) verstorig primair proces, lagdurig probleem Zeer groot (6) verstorig primair proces, reputatieschade, terugloop leerlige De vermeigvuldigig va de waarde geeft aa hoe groot het risico is: - gemiddelde kas e grote impact leidt tot ee score va 15 10

11 Hoe ka ee risicoaalyse er uit zie? 11

12 Leg de de risicoaalyse vast Bepaal de maatregele die odig zij om de risico s te beperke: Gebruik daarvoor bijvoorbeeld de maatregele i de aapak IBP ( Schrijf ee memo om het same te vatte, bijvoorbeeld: Er is ee risicoworkshop geweest op 2 februari 2016 met de volgede aawezige: Dit zij de grootste risico s:... (top 5 of top 10) Op basis va deze risico s e laaghaged fruit wille we komed jaar deze maatregele implemetere:... (10-15 maatregele) Waeer het bevoegd gezag om akkoord gevraagd wordt, ka dit diest doe als ee pla va aapak voor het aakomede jaar. 12

14 BIV-classificatie Het doel va classificatie is om de processe e bijbehorede applicaties bie de oderwijsistellig goed i beeld te krijge. Het is belagrijk dat je weet welke gegeves jouw istellig verwerkt, waeer deze beschikbaar moete zij e hoe het zit met de itegriteit e de vertrouwelijkheid va die gegeves. Dat is u precies het terrei va de iformatiebeveiligig. Iformatiebeveiligig heeft te make met drie aspecte: Beschikbaarheid Itegriteit Vertrouwelijkheid 14

15 Hoe ku je classificere? Verzamel de volgede mese: Proceseigeare Applicatiebeheerders Stel vast hoe belagrijk de aspecte zij (hoog, midde laag): Beschikbaarheid (mag het systeem uitvalle?) Itegriteit (moge de gegeves ovolledig zij?) Vertrouwelijkheid (mag iederee de gegeves zie?) Stel vast welke maatregele je daarom moet eme: Beschikbaarheid => cotiuïteit, portabiliteit, herstelbaarheid Itegriteit => juistheid, volledigheid, waarborgig Vertrouwelijkheid => autorisatie, autheticatie, idetificatie 15

16 Voorbeeldvrage classificatie De keteparters i het oderwijs hebbe ee certificerigsschema otwikkeld. Daari staat ee vragelijst die helpt bij classificatie: 16

18 Register va verwerkigsactiviteite Op 25 mei 2018 vervalt het Vrijstelligsbesluit. Schole moete da et als adere orgaisaties kue aatoe dat de verwerkige va persoosgegeves duidelijk i kaart zij gebracht e aa de AVG voldoe. U bet verplicht veratwoordig af te legge over uw gegevesverwerkige waeer de Autoriteit Persoosgegeves daar om vraagt. 18

19 Register va de verwerkigsactiviteite Artikel 30 va de AVG geeft aa wat het het register va de verwerkigsactiviteite miimaal moet bevatte. 19

20 Miimaal aa de wet voldoe? 20

22 DPIA of gegevesbeschermigseffectbeoordelig Wbp: PIA (privacy impact assessmet) AVG: DPIA (data protectio impact assessmet) Oderzoek vooraf wat de impact is op beschermig va persoosgegegves: bij ieuwe otwikkelige bij gebruik va ieuwe techieke Dus Nadeke over welke gegeves we waar gebruike e waarvoor. Nadeke over de huidige situatie e toekomstige veraderige. Nadeke over de risico s va de dagelijkse praktijk. Nadeke over de beschikbaarheid, de itegriteit e vertrouwelijkheid va gegeves e systeme. Nadeke over de beveiligigsmaatregele die we moete eme Uitkomst DPIA iet vrijblijved, maar richtiggeved e corrigered bedoeld. 22

23 Waeer is ee DPIA oodzakelijk Ee DPIA is oodzakelijk als de verwerkig aa 2 of meer criteria voldoet: Bij beoordelig va mese op basis va persooskemerke (profilerig, make va progoses) Geautomatiseerde beslissige Stelselmatige e grootschalige moitorig Gevoelige gegeves Grootschalige gegevesverwerkige - De hoeveelheid mese va wie gegeves worde verwerkt - De hoeveelheid gegeves e/of de verscheideheid aa gegeves die worde verwerkt - De tijdsduur va de gegevesverwerkig - De geografische reikwijdte va gegevesverwerkig Gekoppelde databases Gegeves over kwetsbare persoe Gebruik va ieuwe techologieë Doorgifte va persoosgegeves buite de EU Blokkerig va ee recht, diest of cotract 23

25 Wat komt er bij beware kijke? Bewaartermije vaststelle is gee siecure: Naast de AVG is er veel specifieke adere wetgevig Het is og oduidelijk hoe de wette zich tot elkaar verhoude (wat gaat voor?) Rechtsvorm va de orgaisatie is bepaled Naast het beware ka verietige ook ee probleem zij Veel orgaisaties buite de school krijge gegeves va schole (DUO, GGD, et cetera) Hoe werkt da verietigig i de praktijk? Sectorrade, Keiset, het miisterie e ee aatal adere partije zij bezig met de ivetarisatie e ee vertalig aar de praktijk va het oderwijs. Houdt daarom de berichtgevig i de gate 25

26 Bewaartermije ivetarisere Ivetariseer de bewaartermije, op basis va de wet- e regelgevig: AVG Wet op primair/voortgezet oderwijs Archiefwet (iet op alle schole va toepassig) Diverse besluite e regelige: - Besluit bekostigig WPO - Examebesluit VO - 26

27 Voorbeeld bewaartermije vastlegge 27

29 Bewust omgaa met persoosgegeves De AVG eist va orgaisaties dat zij bewust omgaa met persoosgegeves, dus met privacy. Het schoolbestuur (bevoegd gezag) moet ervoor zorge dat er praktische e heldere atwoorde kome op vrage zoals: Welke persoosgegeves gebruike we e waarvoor? Hoe lag moge we ze beware? Zette we het gebruik va sociale media i, i de klas? Weet iederee wat datalekke zij e hoe hier mee om te gaa? Hoe gaa we om met beeldmateriaal? Op die maier weet iederee i de hele orgaisatie: Wat zij rol is e wat zij veratwoordelijkhede zij Hoe hij om moet gaa met persoosgegeves 29

30 30

31 Zes keer zorgvuldig Gebruik zorgvuldig: vergredel je scherm Deel zorgvuldig: eerst deke da dele (e da iet gewoo per mail) Surf zorgvuldig: klik iet klakkeloos Beveilig zorgvuldig: wachtwoord is persoolijk Verbid zorgvuldig: check veilige verbidig Sla zorgvuldig op: ecryptie e gee USB-sticks 31

33 Het dataregister bregt alles bij elkaar Het dataregister bevat alle oderdele, die ee register voor de verwerkigsactiviteite moet bevatte (artikel 30 AVG) é is aagevuld met: BIV-classificatie op het iveau va de gebruikte persoosgegeves, Ee overzicht va de brodocumete De mogelijkheid om aa te geve tot welke persoosgegeves itere gebruikers toegag hebbe Welke persoosgegeves er worde opgeslage i itere applicaties e specifieke documete. Hiermee wordt al ivullig gegeve aa ee stuk autorisatie. Odersteuig bij iformatieplicht 33

34 Voor gebruik: lees eerst de bijsluiter 34

35 Ee dataregister per groep betrokkee Leerlige PO/VO Medewerkers i loodiest Medewerkers iet i loodiest Relaties 35

36 Voordele dataregister Met het dataregister heb je: Izicht i wat je verwerkt aa persoosgegeves Izicht i de applicaties die je gebruikt Izicht i wie toegag heeft tot welke gegeves Ee basis voor de autorisatiematrix Izicht i de status va verwerkersovereekomste Hadvatte voor de DPIA Hadvatte praktisch met de rechte va de betrokkee om te gaa Maak er tijd voor, maar het hoeft iet i 1 keer helemaal af. De afzoderlijke werkdocumete make het mogelijk om het i stappe te doe. 36

37 Praatplaat 37

38 Recht op iformatie betrokkee 38

39 Dak voor de aadacht!

40 Gebruikte plaatjes Circle by Vigesh Raja from the Nou Project Questio by icosphere from the Nou Project director by lastspark from the Nou Project Teacher by Adrie Coquet from the Nou Project kids by Felix Westphal from the Nou Project School by Diosoft Labs from the Nou Project paret by NATAPON CHANTABUTR from the Nou Project Govermet by romzico from the Nou Project productio by Laymik from the Nou Project Warig by Gregor Cresar from the Nou Project measure by pictohave from the Nou Project Classified Iformatio by Fracisco Garcia Gallegos from the Nou Project secret documet by I Putu Kharismayadi from the Nou Project Check by Tomas Kopp from the Nou Project sigh by Llisole from the Nou Project pills by Alia Oleyik from the Nou Project coectivity by Saeful Muslim from the Nou Project thak you by Ga Khoo Lay from the Nou Project