Dataprotectie op school Jacques Verleijen ook een taak van het management.

Presentatie over: "Dataprotectie op school Jacques Verleijen ook een taak van het management."— Transcript van de presentatie:

1 Dataprotectie op school Jacques Verleijen ook een taak van het management

2 Wat is informatieveiligheid ?

3 Netwerkschijven Cloud Backup- en restoremogelijkheden Encryptie … Servers Firewalls VPN, HTTPS,… Antivirus software Gebruikersbeheer Mogelijke actoren

4 Regelgeving Policy’s Richtlijnen Kwaliteitszorg …. Mogelijke actoren Risico gedrag Bewustmaking Gedragscode ….

5 Waarom dataprotectie ? Uitwisseling van persoonlijke gegevens van leerlingen Moet vertrouwen geven aan ouders en leerlingen Scholen moeten voldoen aan de privacy wetgeving: Bescherming van de gegevens Verwerken op een verantwoorde wijze De informatie moet betrouwbaar zijn!!

6 Nieuwe Europese richtlijn Administratieve vereenvoudiging (voor bedrijven en diensten) Meer verantwoording en rekenschap voor de verwerkers Meldingsplicht over gegevenslekken Individuele toegang tot eigen gegevens wordt vergemakkelijkt Recht om vergeten te worden Grotere bevoegdheden voor de nationale autoriteiten: Controles Boetes tot 1 miljoen € of 2% van de jaarlijkse omzet.

7 België wacht niet zo lang…

8 Gevoelige informatie en hun dragers Toetsen, examenvragen en resultaten Persoonlijke gegevens van leerlingen en personeel Leerlingvolgsystemen, CLB dossiers Financiële gegevens, boekhouding Aanbestedingen, offertes,…. Informatie op de elektronische leeromgeving Informatie op websites

9 Uitdagingen Het juiste niveau van beveiliging inbouwen Zonder de openheid te schaden Zonder de flexibiliteit te beperken Focus wijzigen van controle naar risicobeheersing: Niet alle informatie kan en moet beveiligd worden Nadruk op specifieke types van informatie

10 Mogelijke gevolgen Juridisch Vervolgingen Processen Financieel Imagoschade Persoonlijke schade Fysiek, psychologisch, moreel, …

11 Hoe beginnen we eraan? De ISO 27000 normen zijn een goed aanknopingspunt ISO 27001: Beschrijft het proces om een beleid in te voeren en te onderhouden Noodzaak voor certificatie? Nee, maar goede richtlijn voor het management

12 ISO 27002 1.Beleid 2.Organisatie 3.Human Resources 4.Beheer van bedrijfsmiddelen 5.Toegangsbeveliging 6.Cryptografie 7.Fysieke beveiliging 8.Operationele veiligheid 9.Communicatie 10.Aankoop, ontwikkeling en onderhoud 11.Relaties met leveranciers 12.Veiligheidsincidenten 13.Continuïteitsbeheer 14.Naleving en controle ISO 27002: Checklist met aandachtpunten (14 rubrieken en 119 controle-items):

13 Leg de nadruk op het proces! Volg de kwaliteitscirkel: Plan Risico analyse en aanvaarding Do Project uitwerken en uitvoeren Check Evalueer Act Bijsturing en aanvulling

14 Denk eraan…

15 OPMERKING: To change the image on this slide, select the picture and delete it. Klik vervolgens in de tijdelijke aanduiding op het pictogram Afbeeldingen om uw eigen afbeelding in te voegen. Een paar aandachtspunten

16 Gedragscode ICT Gedragscode van de Vlaamse overheid Niet van toepassing op onderwijs instellingen Nood aan eigen ICT gedragscode Sommige scholen(groepen/gemeenschappen) hebben dit al

17 Mobile Device management Risico’s Verlies diefstal… Geen beveiliging Geen controle, … Bring Your Own Device Platform onafhankelijk Controle op school apps.

18 Wachtwoorden: mijn grootste nachtmerrie Enquête in 2014: 30% van de scholen geconfronteerd met wachtwoord fraude: Achterhalen van paswoord van leerkracht: 75% Brute force attack (paswoordkrakers): 5 % keyloggers: 20 % Dit is slechts het topje van de ijsberg

19 Wachtwoorden

20 Praktisch voorbeeld: M2k,M&Tzs15j is dit moeilijk te onthouden? Voor mij heeft dit zin: “Mijn twee kinderen, Mieke en Tom zijn samen 15 jaar.”

21 Gevaar voor Social engineering Informatiesystemen hacken is niet alleen een technische bezigheid. Hackers zijn uit op menselijke zwakheden Ken de organisatie(cultuur), zo vind je de zwakke plekken (*) Dhr Beirens

22 Dubbele authenticatie Maak dit verplicht voor leerkrachten!!!!!

23 Maak noodplannen Niet enkel technisch, maar vooral op managementniveau: Analyse: Kritische bedrijfsprocessen Risico analyse Impact Planning en implementatie Testen, evalueren en bijsturen

24 Besluit

25 Project iSafetyScan Vult esafety aan…

26 IsafetyScan I => ICT: Technische analyse van - het netwerk en - ICT-beleid (bijv BYOD) rond ICT veiligheid I => Informatie & Privacy: Analyse van informatieveiligheid - om zoveel mogelijkheid in orde te zijn met regelgeving (ISO 27000 etc) - Privacycommissie IsafetyTraining ( 2 pers / schoolgem.) IsafetyCertified Je voert onder begeleiding een Scan uit inzake - ICT technische veiligheid - Informatieveiligheid

27 Voor zij die op eigen school en andere scholen een isafetyscan correct kunnen begeleiden en uitvoeren Certified iSafetyCoach

28 Project ism met Vlaamse Toezichtscommissie EduBIT (BE) ExtraBit (FR) Lansweeper Qualyscom Higis.eu (Gezondheidszorg)

29 Meer info en pre-registratie: isafety.info

30 OPMERKING: To change the image on this slide, select the picture and delete it. Klik vervolgens in de tijdelijke aanduiding op het pictogram Afbeeldingen om uw eigen afbeelding in te voegen. Jacques.verleijen@telenet.be