Voldoen aan het IBP Normenkader: dit moet je weten

Wat is het normenkader en wanneer gaat deze in?

Het onderwijs is in de afgelopen jaren steeds verder gedigitaliseerd. Veilig digitaal onderwijs is niet vanzelfsprekend, daar moet je wat voor doen. Het is belangrijk om als school te weten waar je dan rekening mee moet houden. Ook is het van belang dat alle scholen hierin dezelfde standaarden hanteren. Daarom is het Normenkader Informatiebeveiliging en Privacy voor het onderwijs gemaakt. 

Door aan het Normenkader IBP te voldoen, zorg je voor een veilige digitale leer- en werkomgeving voor je leerlingen en medewerkers. Vanaf 2027 moeten schoolorganisaties voldoen aan het Normenkader IBP. En dat is nog flink wat werk.

Waar moet je bij Myndr op letten als je aan het normenkader wil voldoen?

Om je als externe leverancier zo veel mogelijk te helpen, leggen we in dit artikel uit welke normen uit het kader van toepassing zijn op onze dienst. We leggen uit aan welke standaarden wij voldoen en waar je de benodigde informatie kunt vinden. 

Aan welke standaarden voldoet Myndr?

AVG, Algemene Verordening Gegevensbescherming

Myndr is aangesloten bij het Privacy Convenant Onderwijs. Partijen die bij het PCO zijn aangesloten, voldoen aan de AVG. Wij zijn vanaf onze opstart deelnemer van het PCO en we doorlopen de audits die nodig zijn om aan de eisen te blijven voldoen. In de toekomst gebeurt dit via EDU-V.  

ROSA -Referentie Onderwijs Sector Architectuur

Ook de ROSA is onderdeel van het PCO. Meer informatie over ROSA bij Myndr vind je in bijlage 2 van de verwerkersovereenkomst.

Voor meer uitleg en details, lees: 

Privacy bij Myndr 

Toelichting over ons gebruik van subverwerkers

Omgang met gegevens van de onderwijsinstelling

Verwerkersovereenkomst PCO-04

Wij gebruiken de Verwerkersovereenkomst volgens het model van het Convenant Digitale Onderwijsmiddelen en Privacy PCO-04. Dit model kun je hier inzien. We bieden de overeenkomst aan via de Dienst Verwerkersovereenkomsten van Kennisnet.

SLA

Wij werken aan een kant-en-klare SLA. Zodra deze beschikbaar is, kun je hem hier terugvinden.

DPIA

Wij hebben de procedure voor een pre-DPIA doorlopen, maar omdat wij geen gegevens van kinderen verwerken, is een DPIA niet van toepassing. Gegevens van kinderen komen niet bij ons terecht en kunnen dus ook nooit in verkeerde handen vallen. Wij werken alleen met geanonimiseerde data. Toelichting.

PEN-test

Myndr is aangesloten bij Basispoort. Om als bedrijf aangesloten te kunnen worden bij Basispoort, moet onder andere een zogeheten PEN-test worden uitgevoerd. Het hele systeem wordt dan door een onafhankelijke externe partij gecheckt op kwetsbaarheden en deze moeten zijn verholpen voordat je op Basispoort wordt toegelaten. Aangesloten zijn bij Basispoort kan dus niet zonder volledig getest en goedgekeurd te zijn. 

Ethisch hacken

Om ons systeem te testen op zwakheden, zijn wij aangesloten bij HackerOne. Dat betekent dat professionele ethische hackers doorlopend proberen ons systeem te hacken. Bij een eventuele zwakte worden wij direct ingelicht, zodat we het lek kunnen dichten. Dit gebeurt volgens de Coordinated Vulnerability Disclosure (CVD) (voorheen Responsible Disclosure).

Voor welke normen heb je dit nodig?

Hieronder vind je een lijst met alle normen die betrekking hebben op de samenwerking met Myndr. Je ziet op welke punten uit de volwassenheidsniveaus wij ter sprake kunnen komen en welke van de hierboven genoemde acties en standaarden van toepassing zijn. 

Download deze lijst als pdf bestand

Informatiebeveiliging

Domein 4

Bewustwording en informatiebeveiliging. NORM HR.06 Veiligheidsbewustzijn.

Omschrijving uit volwassenheidsniveaus: Er is een bewustwordingsprogramma opgenomen in het informatiebeveiligingsplan en dit wordt organisatiebreed uitgevoerd.

• Van toepassing: Op onze website kun je informatie vinden over veilig internetten in de vorm van blogs en artikelen. Deze kunnen ondersteunend zijn in de bewustwording.

Domein 8

Informatiebeveiliging. NORM SD.01 Methodiek voor veilige softwareontwikkeling en -implementatie 

Omschrijving uit volwassenheidsniveaus: Voor elke nieuwe ontwikkeling of aanschaf is goedkeuring nodig van het juiste niveau van het school- of it-management.

De methodiek voor toetsing van softwarekwaliteit bevat verplichte ‘mijlpalen voor informatiebeveiliging’ (met inbegrip van risicobeoordeling, broncodebeoordeling en tests) die niet kunnen worden omzeild. Deze worden gedocumenteerd.

• Van toepassing: AVG, ROSA, PEN-test

Domein 9

Datamanagement. NORM DM.03 Beveiligingseisen voor datamanagement. 

Omschrijving uit volwassenheidsniveaus: Er is een beleid bepaald, geïmplementeerd en gecommuniceerd om gevoelige data te beschermen tegen ongeautoriseerde toegang en incorrecte uitwisseling.

• Van toepassing: AVG, ROSA

Domein 11

Securitymanagement. NORM SM.03 Mobiele apparaten en telewerken 

Omschrijving uit volwassenheidsniveaus: Informatiebeveiliging wordt geborgd bij het gebruik van mobiele apparaten en telewerkfaciliteiten. Mobile device management, versleuteling en bescherming tegen malware zijn aanwezig om de risico’s te beperken.

• Van toepassing: Myndr blokkeert alle malware voor leerlingen.

Securitymanagement. NORM SM.12  Beheersing van malware-aanvallen 

Omschrijving uit volwassenheidsniveaus: Er is anti-malwarebeleid gedefinieerd, gedocumenteerd en gecommuniceerd. Geautomatiseerde antivirussoftware is in gebruik en formeel vastgelegd. Er zijn maatregelen genomen om het verspreiden van malware te beperken.

• Van toepassing: Myndr blokkeert alle malware voor leerlingen, ROSA.

Domein 15

Ketenbeheer. NORM SC.01 Service Level Agreement

Omschrijving uit volwassenheidsniveaus: IT-services die aan de organisatie worden geleverd, worden gedefinieerd in het contract en bijhorende SLA. Checklist Eisen aan leveranciers en de IT-eisen uit ROSA. 

• Van toepassing: SLA, ROSA

Ketenbeheer. NORM SC.02 Service Level Management 

Omschrijving uit volwassenheidsniveaus: De performance van de services worden periodiek gerapporteerd in een service level rapport (SLR), en indien nodig besproken met de leverancier.

• Van toepassing: je ontvangt wekelijkse rapportages en kunt resultaten monitoren in je dashboard

Ketenbeheer NORM SC.03 Leveranciersrisicomanagement.

Omschrijving uit volwassenheidsniveaus: Contracten zijn volgens algemene bedrijfsstandaarden en voldoen aan wet- en regelgeving (bijvoorbeeld dataprivacy). Voordat de contracten worden ondertekend wordt een toetsing verkregen, die aantoont dat de levering van diensten voldoet aan wet- en regelgeving en aan het eigen (beveiligings)beleid.

• Van toepassing:verwerkersovereenkomst volgens PCO-04

Ketenbeheer NORM SC.04 Interne beheersing bij derden

Omschrijving uit volwassenheidsniveaus: De status van de interne beheersmaatregelen van de externe dienstverleners wordt periodiek geëvalueerd. Er zijn procedures om te garanderen dat externe dienstverleners zich aan de contractuele verplichtingen houden.

• Van toepassing: verwerkersovereenkomst volgens PCO-04, Ethisch hacken

Privacy

Domein 2

Processen NORM PR.04 en DPIA’S NORM PR.05  Identificatie risico’s gegevensverwerking met behulp van pre-DPIA’s

Omschrijving uit volwassenheidsniveaus: Er is een methode/procedure vastgesteld om voor alle nieuwe en gewijzigde verwerkingen te bepalen of deze mogelijkerwijs een hoog risico inhouden voor de rechten en vrijheden van betrokkenen.

• Van toepassing: verwerkersovereenkomst volgens PCO-04, DPIA

Processen NORM PR.06 Gegevensbescherming door privacy bij design en privacy bij default 

Omschrijving uit volwassenheidsniveaus: Voorafgaand aan de inkoop of de ontwikkeling van toepassingen, diensten en producten vindt systematisch een beoordeling plaats van de privacyrisico’s. Hierbij worden de benodigde maatregelen vastgesteld om de privacybeginselen van art. 5 lid 1 AVG na te leven.

• Van toepassing: AVG, ROSA, verwerkersovereenkomst volgens PCO-04, DPIA, PEN-test, 

Domein 3

Organisatorische inbedding NORM OI-04 Bewustwording bescherming persoonsgegevens

Omschrijving uit volwassenheidsniveaus: Medewerkers zijn goed geïnformeerd over hun verantwoordelijkheden met betrekking tot privacy en de bescherming van persoonsgegevens en handelen daarnaar. Leerlingen worden op een planmatige manier geïnformeerd over het belang van privacy en de bescherming van persoonsgegevens.

• Op onze website kun je informatie vinden over veilig internetten in de vorm van blogs en artikelen. Deze kunnen ondersteunend zijn in de bewustwording.

Domein 5

Samenwerking. NORM SW.01 AVG-rollen

Omschrijving uit volwassenheidsniveaus: De organisatie heeft de AVG-rollen van de organisatie en die van externe partijen duidelijk en inzichtelijk gemaakt en medewerkers zijn zich bewust van het belang om AVG–rollen te onderscheiden. Er worden consistent afspraken gemaakt met verwerkers, gezamenlijke verwerkingsverantwoordelijken en eventueel zelfstandig verwerkingsverantwoordelijken. 

• Van toepassing: AVG, ROSA, verwerkersovereenkomst PCO

Disclaimer: 

Aan dit artikel kunnen geen rechten worden ontleend. Een school is zelf verantwoordelijk voor het voldoen aan het Normenkader IBP. Myndr wil met dit artikel ondersteunend zijn in het implementeren van het Normenkader, maar kan niet aansprakelijk gesteld worden indien niet aan alle normen wordt voldaan. In geval van onjuistheden of onvolledigheden worden wij graag op de hoogte gebracht.