Cyberweerbaarheid in het mbo: maak de uitvoering aantoonbaar

Een beleidsdocument beschrijft hoe je wilt werken. Een audit vraagt ook: gebeurt het werkelijk, wie controleert dat en wat doe je als de uitkomst afwijkt? Voor onderwijsinstellingen ligt juist tussen die vragen een praktische kans. Je kunt beginnen met één controle op bestaande gegevens, voordat je processen gaat veranderen.

Cyberweerbaarheid vraagt meer dan een score

MBO Digitaal benadrukt bij de Cyberweerbaarheidspool aantoonbare volwassenheid en onafhankelijke toetsing. De sectorbenchmark benoemt bovendien ruimte voor verbetering in de uitvoering. Dat maakt de verbinding tussen beleid, dagelijkse IT en bewijs belangrijk. Een technisch geslaagde import zegt immers nog niet dat een maatregel structureel werkt.

Neem een laptop die administratief is toegewezen, maar waarvan de beveiligingsstatus ontbreekt. Of een vertrokken medewerker bij wie nog middelen geregistreerd staan. De vraag is niet alleen of de registraties verschillen. Je wilt weten wie het verschil beoordeelt, welke actie volgt en hoe de afronding wordt vastgelegd.

Begin met één controle die het team herkent

Kies samen met security, functioneel beheer en de proceseigenaar een afgebakende vraag. Bijvoorbeeld: welke actieve laptops in de assetregistratie kunnen we terugvinden in de afgesproken beveiligingsbron? Definieer eerst wat binnen de selectie valt, welke bron per gegeven leidend is en hoe recent de waarneming moet zijn.

1. Maak de afspraak concreet. Leg doel, scope, uitzonderingen, eigenaar en beoordelingsfrequentie vast.
2. Vergelijk de beschikbare gegevens. Begin desgewenst met alleen-lezen toegang of een gecontroleerde export. Onzekere koppelingen blijven herkenbaar.
3. Laat afwijkingen beoordelen. Een ontbrekende waarneming kan ook komen door een offline apparaat, beperkte rechten of een fout in de koppeling.
4. Bewaar de uitkomst. Leg vast wat is onderzocht, welk besluit is genomen, wie handelde en wanneer de uitvoering is bevestigd.
5. Herhaal de controle. Een eenmalige momentopname is een startpunt. Met herhaalde controles zie je of de werkwijze blijft functioneren.

GRC en uitvoering hebben ieder een eigen rol

Een GRC-applicatie ondersteunt het vastleggen van risico’s, maatregelen, beoordelingen en bewijs. De servicedesk, identity-omgeving en middelenregistratie ondersteunen het dagelijkse werk. Service Automation Suite kan de gegevens en ingerichte vervolgacties tussen die omgevingen verbinden. Zo hoeft een team dezelfde controle niet steeds opnieuw met losse spreadsheets uit te voeren.

Gebruik bestaande koppelingen waar die de vraag al goed oplossen. Bij aanvullende uitwisseling spreken we af welke gegevens beschikbaar zijn, wie ze mag ontvangen en hoe de verwijzing naar het oorspronkelijke werk behouden blijft. TrustBound ondersteunt eigen koppelingen en rapportages. Vanuit die basis verbind je relevante gegevens met werkreferenties en bevestigde uitkomsten, zodat beoordeling en uitvoering bij elkaar blijven.

Een controle is nog geen formele verklaring

De koppeling met het NBA-volwassenheidsmodel moet inhoudelijk worden beoordeeld door de verantwoordelijken en, waar nodig, de onafhankelijke auditor. Zij bepalen welke statements relevant zijn en welk bewijs nodig is. Service Automation Suite kent geen automatische NBA-score toe en garandeert geen deelname aan de Cyberweerbaarheidspool.

Wel kun je een praktische keten inzichtelijk maken: welke afspraak geldt, welke gegevens zijn gebruikt, welke afwijking is beoordeeld en wat is bevestigd? Dat biedt een onderbouwd gesprek tussen security, compliance, architectuur en de uitvoering.

Een kleine volgende stap

We denken graag mee over één controle die aansluit op jullie dagelijkse praktijk. Vooraf stemmen we toegang, gegevensgebruik, inzet en de gewenste uitkomst af. Pas na de eerste beoordeling beslis je of en welke vervolgacties worden ingericht.

We komen graag in contact. Bekijk ook de onderwijsoplossingen en de mogelijkheden rond TrustBound GRC.

Verdieping: Cyberweerbaarheidspool bij MBO Digitaal en de sectorbenchmark. Toets voorwaarden en kaders altijd aan de actuele sectorafspraken.

Verder lezen

Defender en je assetregister: begin met een controle die alleen leest · Digitale autonomie: samen een praktische volgende stap zetten