Het SURFaudit-toetsingskader is de gezamenlijke meetlat voor informatiebeveiliging en privacy in het mbo en hoger onderwijs. Het kader is gebaseerd op het NBA Volwassenheidsmodel Informatiebeveiliging en meet per maatregel hoe volwassen een instelling is, op een schaal van 1 tot 5.
De sector streeft samen met het ministerie van OCW naar gemiddeld volwassenheidsniveau 3. Universiteiten laten hun informatiebeveiliging jaarlijks extern auditen, hogescholen elke twee jaar. Mbo-instellingen doen dit jaarlijks via MBO Digitaal. De resultaten komen samen in een jaarlijkse benchmark.
Maatregel:
Leg vast hoe jouw instelling informatiebeveiliging en privacy organiseert, met duidelijke rollen en verantwoordelijkheden. Het bestuur stuurt hierop en is eindverantwoordelijk.
Maatregel:
Breng de belangrijkste risico’s voor onderwijs, onderzoek en bedrijfsvoering in kaart. Kies maatregelen op basis van die risico’s en evalueer ze periodiek.
Maatregel:
Maak medewerkers bewust van hun rol bij informatiebeveiliging en houd die kennis actueel. Bijvoorbeeld met de cyber security awareness e-learning van Arda. Zo leren ze risico’s herkennen.
Maatregel:
Geef medewerkers en studenten alleen toegang tot de systemen en gegevens die ze nodig hebben. Trek rechten tijdig in wanneer iemand van functie verandert of vertrekt.
Maatregel:
Maak afspraken met leveranciers en partners over informatiebeveiliging en privacy. Controleer periodiek of zij die afspraken nakomen.
Maatregel:
Laat je maatregelen toetsen met een zelfevaluatie, peer review of externe audit. Lever de resultaten uiterlijk 31 januari aan voor de SURFaudit-benchmark over het voorgaande jaar.
Het domein Personeelsbeheer van het toetsingskader vraagt om veiligheidsbewustzijn bij medewerkers. Op niveau 3 moeten maatregelen vastgelegd, ingevoerd en aantoonbaar effectief zijn. Het Arda platform helpt je daarbij.
Niveau 3
Arda biedt één programma voor alle medewerkers, met e-learning, interactieve films, serious games en phishingtraining. Met leerroutes stem je de inhoud af op verschillende groepen.
Audit
Als beheerder zie je precies hoeveel deelnemers welke onderdelen hebben gevolgd. Met de rapportages laat je bij een audit zien dat je programma ook echt wordt uitgevoerd.
Effect
Met de Phishinginbox oefenen medewerkers met realistische e-mails. Je ziet hoe hun gedrag zich ontwikkelt en stuurt je programma bij op basis van resultaten.
Praktisch
Log in met single sign-on via SURF en koppel Arda aan de active directory. Met Arda voor studenten bereid je ook studenten voor op een veilige digitale toekomst.
Wil je veiligheidsbewustzijn binnen jouw instelling aantoonbaar op niveau brengen? Arda helpt medewerkers om digitale risico’s te herkennen, zodat zij de sterkste schakel zijn in de beveiliging van onderwijs en onderzoek.
Het is geen wet. Wel heeft de sector met het ministerie van OCW afgesproken te streven naar gemiddeld volwassenheidsniveau 3. Instellingen zijn zelf verantwoordelijk om aan deze sectorale afspraken te voldoen en de koepels delen het sectorbeeld met OCW.
Het SURFaudit-toetsingskader is bedoeld voor mbo-instellingen, hogescholen en universiteiten. Het Normenkader IBP geldt voor het primair, voortgezet en speciaal onderwijs. Beide werken met volwassenheidsniveaus en hebben niveau 3 als doel.
Nee. Het SURFaudit-toetsingskader is een meetlat om de volwassenheid van informatiebeveiliging en privacy te bepalen, geen certificeringsnorm. Wil je een certificaat, dan kijk je naar ISO 27001.
Bewuste medewerkers die weten hoe ze cybercriminelen buiten de deur houden.
50% meer meldingen van verdachte e-mails.
Minder stress over imagoschade en herstelkosten na een incident.
