De Cloudwise Basisnormen: digitale veiligheid borgen we samen
IT-aanbieders kunnen de best beveiligde netwerken leveren, met de slimste monitoring en de snelste support. Maar voor échte digitale veiligheid is meer nodig. De basis moet op orde zijn, óók bij de klant. Daarom stellen IT-dienstverleners steeds vaker minimale beveiligingseisen aan de organisaties waarvoor ze werken.
Door Rob ten Thije, Operationeel Directeur Cloudwise
Onze verantwoordelijkheid
Cloudwise is verantwoordelijk voor het netwerk en de digitale omgeving van ruim 4.500 schoollocaties. Meer dan een miljoen leerlingen en medewerkers vertrouwen dagelijks op onze dienstverlening. Natuurlijk voelen we de enorme verantwoordelijkheid die dat met zich meebrengt. Maar die verantwoordelijkheid kunnen we alleen waarmaken als onze klanten aan hun kant ook het nodige hebben geregeld. Alleen samen kunnen we digitale veiligheid borgen.
Vrijblijvendheid is geen optie meer
Voorheen zat er in onze gesprekken met scholen altijd een zekere flexibiliteit. “Kunnen jullie die netwerkinstelling nog even aanpassen? Anders is het zo onpraktisch.” “Die oudere firewall? Och, die kan nog wel een paar jaar mee.” “Multifactorauthenticatie? Nee hoor, daar beginnen we niet aan, dat vinden onze gebruikers veel te lastig.” Op zich best begrijpelijk allemaal. Maar in deze tijd kán het gewoon niet meer. Daarom hebben we in de Cloudwise Basisnormen vier punten gedefinieerd waaraan scholen echt moeten voldoen.
Let wel: deze vier punten hebben we niet zomaar gekozen. Ze liggen in lijn met het Normenkader IBP, dat scholen uiterlijk in 2030 op volwassenheidsniveau 3 wil hebben. Dat Normenkader is in gezamenlijkheid opgesteld door het ministerie van OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad. Met andere woorden: dit zijn normen die noodzakelijk worden geacht. Ook door Cloudwise. En omdat bepaalde cruciale punten niet kunnen wachten tot 2030, introduceren we de Cloudwise Basisnormen.
Wat houden de Cloudwise Basisnormen in?
-
Firewalls
In de netwerken die wij beheren is geen plaats voor firewalls die niet meer worden ondersteund door de fabrikant. De firewall is de voordeur van je digitale omgeving. Om je netwerk, deze voordeur, goed te beveiligen is het van cruciaal belang dat het apparaat nog binnen de supporttermijn van de fabrikant valt, zodat deze updates ontvangt en er direct actie kan worden ondernomen bij acute kritieke kwetsbaarheden. Firewalls moeten daarom tijdig worden vervangen en onderdeel worden van een beheerde omgeving met een beheercontract*. Dit sluit direct aan bij norm SM.11 Netwerkbeveiliging uit het Normenkader IBP. Die norm stelt namelijk dat firewalls en andere beveiligingstechnieken structureel beheerd en onderhouden moeten worden. * Vanuit ons streven naar standaardisatie hebben wij het in dit verband steeds vaker over FortiGate firewalls met een Fortinet Premium supportcontract.
-
MFA en geofencing
In vrijwel iedere zakelijke IT-omgeving is multifactorauthenticatie (MFA) inmiddels de norm. Maar in het onderwijs is dat nog te vaak niet het geval. Bij Cloudwise vinden we dat scholen MFA voor stafleden uiterlijk in 2027 geïmplementeerd moeten hebben, conform de Normenkader-aanbevelingen rond Identiteits- en toegangsbeheer. Vanaf 1 januari 2027 dragen we al geen verantwoordelijkheid meer voor de gevolgen van issues die ontstaan doordat MFA niet is ingericht. Per 1 januari 2028 stellen de Cloudwise Basisnormen MFA verplicht. Let op! In 2027 krijgt de COOL IdP (Identity Provider) een upgrade waarin onder andere MFA is opgenomen. Wil jij een soevereine Identity & Acces Management tool? En niet afhankelijk zijn van Google of Microsoft? Kies dan voor COOL als IDP.
-
Switching en WiFi
In een veilig netwerk is ook geen plaats meer voor switches en access points die end-of-support (EOS) zijn (of zelfs end-of-life). Hierin hanteren we de lijn dat we alleen beheer voeren op (en dus inzicht hebben in) switches en access points die via de cloud gemanaged worden. Wordt er geen onderhoud, updates of wijzigingen meer door de fabrikant doorgevoerd op devices dan kunnen we geen verantwoordelijkheid dragen voor een veilig netwerk. Problemen voortkomend uit verouderde hardware liggen dus buiten de verantwoordelijkheid van Cloudwise.
-
Off-site back-up
Als een Google of Microsoft 365-account is beëindigd of een dienst niet meer actief wordt gebruikt, worden de bijbehorende gegevens voor een bepaalde periode bewaard door hen. Maar deze zogenoemde retentie is niet hetzelfde als een backup, en scholen komen daardoor regelmatig in de problemen. Daarom schrijven de Cloudwise Basisnormen voor dat elke schoollocatie uiterlijk eind 2027 beschikt over een off-site back-up (oftewel een reservekopie van gegevens die op een andere fysieke locatie wordt bewaard dan de oorspronkelijke data). Dat is voor ons de enige manier om data van de klant veilig op te slaan en te kunnen herstellen. Hierin volgen we de voorschriften uit het Normenkader-domein Back-up en herstel van gegevens.
Tijd voor een eerste stap
Tot slot: digitale dreigingen wachten niet tot het Normenkader in 2030 ingaat. Een school die vandaag kwetsbaar is, lost dat niet op met het argument dat de wettelijke termijn nog niet is verstreken. We beseffen heel goed dat de introductie van de Cloudwise Basisnormen investeringen met zich meebrengt, en dat niet elke school daar vandaag al klaar voor is. We denken ook graag mee over een routekaart naar digitale volwassenheid (zie pagina 4 in de gids), om zaken behapbaar te maken. Maar op dit moment moeten we wel samen een eerste stap zetten. Mijn team en ik hopen op ieders medewerking!
Digitaal veilig onderwijs
Digitaal vaardige mensen verdienen een digitaal veilige omgeving. En zo'n veilige omgeving werkt pas als mensen er vaardig mee omgaan. Lees hoe wij ook de technische kant voor je op orde brengen op de pagina Digitaal veilig onderwijs.