Dataprotectie op school

Transcriptie

1 Dataprotectie op school ook een taak van het management Jacques Verleijen

2 Wat is informatieveiligheid?

3 Mogelijke actoren Netwerkschijven Cloud Backup- en restoremogelijkheden Encryptie Servers Firewalls VPN, HTTPS, Antivirus software Gebruikersbeheer

4 Mogelijke actoren Regelgeving Policy s Richtlijnen Kwaliteitszorg. Risico gedrag Bewustmaking Gedragscode.

5 Waarom dataprotectie? Uitwisseling van persoonlijke gegevens van leerlingen Moet vertrouwen geven aan ouders en leerlingen Scholen moeten voldoen aan de privacy wetgeving: Bescherming van de gegevens Verwerken op een verantwoorde wijze De informatie moet betrouwbaar zijn!!

6 Nieuwe Europese richtlijn Administratieve vereenvoudiging (voor bedrijven en diensten) Meer verantwoording en rekenschap voor de verwerkers Meldingsplicht over gegevenslekken Individuele toegang tot eigen gegevens wordt vergemakkelijkt Recht om vergeten te worden Grotere bevoegdheden voor de nationale autoriteiten: Controles Boetes tot 1 miljoen of 2% van de jaarlijkse omzet.

7 België wacht niet zo lang

8 Gevoelige informatie en hun dragers Toetsen, examenvragen en resultaten Persoonlijke gegevens van leerlingen en personeel Leerlingvolgsystemen, CLB dossiers Financiële gegevens, boekhouding Aanbestedingen, offertes,. Informatie op de elektronische leeromgeving Informatie op websites

9 Uitdagingen Het juiste niveau van beveiliging inbouwen Zonder de openheid te schaden Zonder de flexibiliteit te beperken Focus wijzigen van controle naar risicobeheersing: Niet alle informatie kan en moet beveiligd worden Nadruk op specifieke types van informatie

10 Mogelijke gevolgen Juridisch Vervolgingen Processen Financieel Imagoschade Persoonlijke schade Fysiek, psychologisch, moreel,

11 Hoe beginnen we eraan? De ISO normen zijn een goed aanknopingspunt ISO 27001: Beschrijft het proces om een beleid in te voeren en te onderhouden Noodzaak voor certificatie? Nee, maar goede richtlijn voor het management

12 ISO ISO 27002: Checklist met aandachtpunten (14 rubrieken en 119 controle-items): 1. Beleid 2. Organisatie 3. Human Resources 4. Beheer van bedrijfsmiddelen 5. Toegangsbeveliging 6. Cryptografie 7. Fysieke beveiliging 8. Operationele veiligheid 9. Communicatie 10. Aankoop, ontwikkeling en onderhoud 11. Relaties met leveranciers 12. Veiligheidsincidenten 13. Continuïteitsbeheer 14. Naleving en controle

13 Een paar aandachtspunten

14 Gedragscode ICT Gedragscode van de Vlaamse overheid Niet van toepassing op onderwijs instellingen Nood aan eigen ICT gedragscode Sommige scholen(groepen/gemeenschappen) hebben dit al

15 Mobile Device management Risico s Verlies diefstal Geen beveiliging Geen controle, Bring Your Own Device Platform onafhankelijk Controle op school apps.

16 Wachtwoorden: mijn grootste nachtmerrie Enquête in 2014: 30% van de scholen geconfronteerd met wachtwoord fraude: Achterhalen van paswoord van leerkracht: 75% Brute force attack (paswoordkrakers): 5 % keyloggers: 20 % Dit is slechts het topje van de ijsberg

17 Wachtwoorden Gebruik een sterk wachtwoord Geen eigennamen, of andere persoonlijke verwijzingen Noteer nooit wachtwoorden op papier, of in een bestand Wijzig het wachtwoord als u er een gekregen heeft om een eerste maal in te loggen Wachtwoorden doorgeven op een veilige manier Indien je een vermoeden hebt van misbruik, meldt dit dadelijk.

18 Praktisch voorbeeld: M2k,M&Tzs15j is dit moeilijk te onthouden? Voor mij heeft dit zin: Mijn twee kinderen, Mieke en Tom zijn samen 15 jaar.

19 Gevaar voor Social engineering Informatiesystemen hacken is niet alleen een technische bezigheid. Hackers zijn uit op menselijke zwakheden Ken de organisatie(cultuur), zo vind je de zwakke plekken

20 Dubbele authenticatie Maak dit verplicht voor leerkrachten!!!!!

21 Maak noodplannen Niet enkel technisch, maar vooral op managementniveau: Analyse: Kritische bedrijfsprocessen Risico analyse Impact Planning en implementatie Testen, evalueren en bijsturen

22 Besluit

23 Project isafetyscan Vult esafety aan

24 IsafetyTraining ( 2 pers / schoolgem.) I => ICT: Technische analyse van - het netwerk en - ICT-beleid (bijv BYOD) rond ICT veiligheid I => Informatie & Privacy: Analyse van informatieveiligheid - om zoveel mogelijkheid in orde te zijn met regelgeving (ISO etc) - Privacycommissie IsafetyScan Je voert onder begeleiding een Scan uit inzake - ICT technische veiligheid - Informatieveiligheid IsafetyCertified

25 Certified isafetycoach Voor zij die op eigen school en andere scholen een isafetyscan correct kunnen begeleiden en uitvoeren

26 Project ism met Vlaamse Toezichtscommissie EduBIT (BE) ExtraBit (FR) Lansweeper Qualyscom Higis.eu (Gezondheidszorg)

27 Meer info en pre-registratie: isafety.info

28