De volwassenheid verantwoorden

Mbo-scholen zijn transparant over de staat van de informatiebeveiliging en privacybescherming tegenover de eigen medewerkers, het bestuur en de raad van toezicht. Ook overkoepelend geven we zoveel mogelijk openheid van zaken, bijvoorbeeld binnen de MBO Raad en richting de andere bracheorganisaties in het hoger onderwijs, het ministerie van OCW en de Autoriteit Persoonsgegevens. Door open te zijn, maken we al die interne en externe partijen deelgenoot van onze uitdagingen: als uitnodiging om mee te denken over oplossingen.

Volwassenheid als graadmeter

De volwassenheid op het gebied van informatiebeveiliging en privacy is een goede graadmeter van de cyberveiligheid. We meten de volwassenheid op een aantal manieren. In de eerste plaats via het zelfassessment, waarbij de organisatie de beoordeling zelf doet, aan de hand van een toetsingskader.

Verantwoorden van het zelfassessment

Veel scholen laten hun zelfassessment vervolgens valideren door een collega van een andere mbo-school via de peerreview. De meest objectieve en betrouwbare resultaten krijg je echter met een externe audit. Daarom zetten we daar nu op in via het programma Cyberveiligheid. In overleg met het netwerk IBP werken we aan een auditaanpak met een mix van deze drie: het zelfassessment, de peerreview en de externe audit.

Wanneer ben je volwassen?

De volwassenheid wordt gemeten aan de hand van het CMM-model, op een schaal van 1 tot 5. Gemiddeld genomen is niveau 3 voldoende: daarom wordt volwassenheidsniveau 3 binnen de sector als gemiddeld streefniveau gehanteerd.

Wat kun je delen over cyberveiligheid?

Openheid over de staat van je informatiebeveiliging staat op gespannen voet met veiligheid: criminelen kunnen misbruik maken van deze informatie. Bij het verantwoorden van de cyberveiligheid in bijvoorbeeld het jaarverslag moet de school goed afwegen tot op welk detailniveau je hierover kunt rapporteren. Via het programma Cyberveiligheid werken we aan een mbo-breed format hiervoor. Ook voor de mbo-brede analyse op het gebied van cyberveiligheid maken we met de brancheorganisaties in het hoger onderwijs en met het ministerie van OCW afspraken over een format voor deze sectorrapportage.