OR.01 Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid
Informatiebeveiliging en risicomanagement dragen bij aan het behalen van de organisatiedoelstellingen. Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid zijn formeel toegewezen en ingebed in de organisatie.
Volwassenheidsniveau 3 met betrekking tot norm OR.01
Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3. Norm OR.01 (Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid) beschrijft volwassenheidsniveau 3 als volgt:
- Alle rollen op het gebied van het managen van informatierisico’s zijn vastgesteld en toegewezen.
- Op organisatieniveau zijn de verantwoordelijkheid en aansprakelijkheid voor risico- en informatiebeveiligingsmanagement vastgesteld. Hierin worden organisatiebrede kwesties behandeld. Er is een intentieverklaring van het schoolbestuur die stelt dat de schoolleiding de doelen en uitgangspunten van informatiebeveiliging en informatierisicobeheer ondersteunt en dat ze overeenstemming zijn met de strategie en organisatiedoelstellingen.
Hoe ga je aan de slag met Norm OR.01?
Wat doet Cloudwise?
Deze norm valt buiten de verantwoordelijkheid van Cloudwise. Het vaststellen en toewijzen van rollen, verantwoordelijkheden en aansprakelijkheden op het gebied van informatiebeveiliging en risicomanagement is de verantwoordelijkheid van het schoolbestuur.
Het schoolbestuur bepaalt bijvoorbeeld wie eindverantwoordelijk is voor informatiebeveiliging en privacy, wie de onderwijsorganisatie ondersteunt en adviseert (zoals IBP-adviseurs, security officer etc.) en wie verantwoordelijk is voor het onafhankelijk toetsen (Functionaris Gegevensbescherming (FG) of een auditor).
Met deze verdeling worden de verantwoordelijkheden over meerdere rollen gespreid. Dit wordt vaak aangeduid als het three lines model, waarbij uitvoering, ondersteuning en controle duidelijk van elkaar zijn gescheiden. In het voorbeelddocument IBP-beleid op Kennisnet is hiervan een praktische uitwerking te vinden.
Cloudwise neemt als leverancier haar eigen verantwoordelijkheid voor de informatiebeveiliging van de diensten en systemen die wij aan scholen leveren zoals het COOL platform. Dat betekent dat Cloudwise ervoor zorgt dat gegevens die binnen deze systemen worden verwerkt, zoals (persoons)gegevens van leerlingen en medewerkers, zo goed mogelijk worden beschermd.
Binnen Cloudwise is vastgelegd wie welke taken en verantwoordelijkheden heeft op het gebied van informatiebeveiliging. Daarnaast wordt Cloudwise regelmatig onafhankelijk gecontroleerd via certificeringen op basis van ISO 9001, ISO 14001 en ISO 27001.
Deze certificeringen laten zien dat Cloudwise structureel aandacht heeft voor kwaliteit, milieu en informatiebeveiliging, en dat wij voldoen aan de eisen die hieraan worden gesteld.
- Fase 1 - Inrichten
- IB Domein 2 - Organisatie
- Informatiebeveiliging
- Visie, beleid en organisatie
- Onderwijsorganisatie
Weten waar jij staat?
Vraag de privacy en securityscan normenkader aan! Met deze scan krijg je inzicht in zaken rondom de ICT beveiliging van je school of bestuur en bekijken we de beveiliging op de volgende niveaus:
- Check van de huidige situatie
- Check van de 15 domeinen van het normenkader (informatiebeveiliging)
- Check van de 7 domeinen van het normenkader (privacy)
- Opstellen verbeterplan voor de toekomst
Cloudwise helpt onderwijs vooruit!
We spelen een belangrijke rol voor scholen om de digitale veiligheid te realiseren en bewaken, en bieden een reeks oplossingen die zowel op techniek als op de mens gericht zijn. Met de integrale aanpak van Cloudwise versterk je de digitale veiligheid op jouw school en realiseer je digitaal veilig onderwijs voor iedereen.
