Een veilige (ICT-)omgeving begint met een visie, passend beleid en het neerzetten van een juiste organisatie. Alle rollen (privacy officer, security officer en functionaris gegevensbescherming) moeten zijn belegd en afspraken moeten worden geborgd.
Terug naar normen
Naar de normenkaderwijzer >>
Normbeschrijving Kennisnet
OR.01 Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid
Informatiebeveiliging en risicomanagement dragen bij aan het behalen van de organisatiedoelstellingen. Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid zijn formeel toegewezen en ingebed in de organisatie.
Volwassenheidsniveau 3 met betrekking tot norm OR.01
Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3. Norm OR.01 (Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid) beschrijft volwassenheidsniveau 3 als volgt:
- Alle rollen op het gebied van het managen van informatierisico’s zijn vastgesteld en toegewezen.
- Op organisatieniveau zijn de verantwoordelijkheid en aansprakelijkheid voor risico- en informatiebeveiligingsmanagement vastgesteld. Hierin worden organisatiebrede kwesties behandeld. Er is een intentieverklaring van het schoolbestuur die stelt dat de schoolleiding de doelen en uitgangspunten van informatiebeveiliging en informatierisicobeheer ondersteunt en dat ze overeenstemming zijn met de strategie en organisatiedoelstellingen.
Hoe ga je aan de slag met Norm OR.01?
Wat doet Cloudwise?
Deze norm valt buiten de verantwoordelijkheid van Cloudwise. Het vaststellen en toewijzen van rollen, verantwoordelijkheden en aansprakelijkheden op het gebied van informatiebeveiliging en risicomanagement is de verantwoordelijkheid van het schoolbestuur.
Het schoolbestuur bepaalt bijvoorbeeld wie eindverantwoordelijk is voor informatiebeveiliging en privacy, wie de onderwijsorganisatie ondersteunt en adviseert (zoals IBP-adviseurs, security officer etc.) en wie verantwoordelijk is voor het onafhankelijk toetsen (Functionaris Gegevensbescherming (FG) of een auditor).
Met deze verdeling worden de verantwoordelijkheden over meerdere rollen gespreid. Dit wordt vaak aangeduid als het three lines model, waarbij uitvoering, ondersteuning en controle duidelijk van elkaar zijn gescheiden. In het voorbeelddocument IBP-beleid op Kennisnet is hiervan een praktische uitwerking te vinden.
Cloudwise neemt als leverancier haar eigen verantwoordelijkheid voor de informatiebeveiliging van de diensten en systemen die wij aan scholen leveren zoals het COOL platform. Dat betekent dat Cloudwise ervoor zorgt dat gegevens die binnen deze systemen worden verwerkt, zoals (persoons)gegevens van leerlingen en medewerkers, zo goed mogelijk worden beschermd.
Binnen Cloudwise is vastgelegd wie welke taken en verantwoordelijkheden heeft op het gebied van informatiebeveiliging. Daarnaast wordt Cloudwise regelmatig onafhankelijk gecontroleerd via certificeringen op basis van ISO 9001, ISO 14001 en ISO 27001.
Deze certificeringen laten zien dat Cloudwise structureel aandacht heeft voor kwaliteit, milieu en informatiebeveiliging, en dat wij voldoen aan de eisen die hieraan worden gesteld.
Alle normen van Domein 2: Organisatie
- OR.01 Eigenaarschap, rollen, verantwoordelijkheden en aansprakelijkheid
- OR.02 Functiescheiding
Fasering
- Fase 1 - Inrichten
Domein
- IB Domein 2 - Organisatie
Dienst
- Informatiebeveiliging
Normfocus
- Visie, beleid en organisatie
Verantwoordelijkheid
- Onderwijsorganisatie
Een compleet pakket aan dienstverlening
Cloudwise helpt het onderwijs vooruit
We spelen een belangrijke rol voor scholen om de digitale veiligheid te realiseren en bewaken, en bieden een reeks oplossingen die zowel op techniek als op de mens gericht zijn. Met de integrale aanpak van Cloudwise versterk je de digitale veiligheid op jouw school en realiseer je digitaal veilig onderwijs voor iedereen.
Visie, beleid en organisatie
De menselijke factor
Hoe goed je de techniek ook voor elkaar hebt, uiteindelijk geeft de mens de doorslag. Het zijn vooral de gebruikers van ICT-oplossingen die de deur openzetten voor ransomware-aanvallen en andere cybercriminaliteit.
De techniek op orde
Met onze veilige ICT-oplossingen kunnen scholen direct veilig aan de slag. In onze standaardconfiguraties hebben we al een heleboel solide securityservices ingebouwd.
Uitgebreide beveiliging
Er zijn situaties – met name op bestuursniveau – waarin het raadzaam kan zijn om extra securitymaatregelen te treffen. Daarin bieden wij diverse opties.
Digitaal Veilig Onderwijs
Aan de slag met Privacy & Security?
Hoe krijg je grip op veilig digitaal onderwijs? En dat op zo’n manier dat je er zelf zo min mogelijk omkijken naar hebt? Plan direct een adviesgesprek in of lees meer over onze Privacy Officers. Zij helpen op dagelijkse basis scholen verder vooruit met digitaal veilig onderwijs.
