“Een goede basis om echt werk te gaan maken van het normenkader”
Blosse, één in opvang en onderwijs in Noord-Holland, was tot voor kort niet eens officieel klant bij Heutink ICT. Maar toen bovenschools ICT’er Jan Glorie onze Securityscan Normenkader ontdekte, kwam daar verandering in. We spraken met hem en concerncontroller Theresia Ost, die bij Blosse ook de functie van FG (functionaris gegevensbescherming) heeft.
Over Blosse
Blosse is een organisatie die opvang en primair onderwijs in zich verenigt, met 28 kindcentra in en rond Heerhugowaard en ruim 1.200 enthousiaste medewerkers.
Streven naar veiligheid
Om te beginnen legt Theresia uit waarom het thema privacy & security bij Blosse hoog op de agenda staat. “Bij Blosse geldt het credo ‘de basis op orde’. Zo kunnen de pedagogisch professionals zich volledig richten op hun kerntaak: kinderen het beste uit zichzelf laten halen. Gegevensbescherming is zo’n onderwerp dat we gewoon goed geregeld willen hebben. Maar ook een onderwerp waarbij je nooit achterover kunt leunen en denken dat je het voor elkaar hebt. In het verleden hebben we weleens wat security-incidenten gehad. Die kwamen vooral voort uit interne processen, bijvoorbeeld met betrekking tot autorisaties. We zagen dat daar het een en ander verbeterd moest worden. Toen vervolgens het normenkader ook nog om de hoek kwam kijken, hebben we besloten er direct mee aan de slag te gaan.”
Podcast
Jan kwam de Securityscan Normenkader op het spoor via een podcast van Heutink ICT. “Dat sprak me aan, daarom heb ik hier intern geopperd om de scan te laten uitvoeren, en daar kreeg ik al snel de handen voor op elkaar. Vooraf hebben we een aantal documenten aangeleverd, de scan zelf is in feite een sessie van ongeveer drie uur. Theresia, een van mijn collega-bovenschools ICT’ers en ik hebben aan de sessie deelgenomen. We kregen allerlei vragen te beantwoorden, gerangschikt per onderdeel van het normenkader. Zo zijn we het hele normenkader langsgelopen. Een aantal weken later ontvingen we een adviesrapport, dat vervolgens netjes is toegelicht tijdens een volgende sessie.”
"Security heeft net zoveel met gezond verstand als met techniek te maken"
- Jade Rosink - Privacy & Security Consultant
Concrete handvatten
Theresia was blij met het adviesrapport. “Er kwam heel mooi uit naar voren welke onderdelen bij ons al redelijk staan en waar we nog werk te doen hebben. Het rapport is voor ons een goede basis om echt werk te gaan maken van het normenkader. De uitkomst van de scan was voor ons op zichzelf geen grote verrassing, maar met het rapport hebben we wel concrete handvatten gekregen om zaken op te pakken.”
Prioriteiten
De aanbevelingen in het adviesrapport zijn onderverdeeld in vier categorieën: noodzakelijke basismaatregelen, hogere risico’s, medium risico’s en nice-to-have’s. Jan vindt dat handig: “Het stelt ons in staat om prioriteiten te stellen. We hebben nu intern een planning gemaakt met de punten die we als eerste willen oppakken. Aan het eind van dit jaar willen we in ieder geval de basis op orde hebben.” Theresia: “Wat we heel goed beseffen, is dat we tijdig moeten starten. Voordat je het weet, is het 2027.”
Borging
Theresia vindt de introductie van het normenkader in algemene zin een goede zaak. “Ik zie het als een nieuwe kans om te kijken of alles is ingericht zoals het hoort. In een eerder stadium hebben we vanuit KennisNet de richtlijnen geïmplementeerd. Het tussentijds toetsen bleef een aandachtspunt. Dit is een mooie aanleiding om daar verandering in te brengen en bepaalde zaken ook echt te gaan borgen in onze eigen processen.”
Klankbord
De komende tijd kan Heutink ICT voor Blosse ook fungeren als klankbord, en Theresia vindt dat prettig. “Tussentijds kunnen we af en toe samen de balans opmaken. Waar staan we inmiddels? Is datgene wat we hebben gedaan voldoende geweest en zijn we op de goede weg?” Jan vult aan: “Tot nu toe zijn we erg tevreden over de dienstverlening van Heutink ICT. Het is een prima partij om mee samen te werken.”
Weten waar jij staat?
Vraag de privacy en securityscan normenkader aan! Met deze scan krijg je inzicht in zaken rondom de ICT beveiliging van je school of bestuur en bekijken we de beveiliging op drie niveaus:
- Check van de huidige situatie
- Check van de 15 domeinen van het normenkader
- Opstellen verbeterplan voor de toekomst
