Communiceren en bewustwording sessieronde 3A... · 5 Drie schoolbesturen Dynamiek, Prisma en SPOV...
35
Communiceren en bewustwording Jack Haagen, Wim Arendse en Elly Dingemanse
Transcript of Communiceren en bewustwording sessieronde 3A... · 5 Drie schoolbesturen Dynamiek, Prisma en SPOV...
Communiceren en bewustwording
Jack Haagen, Wim Arendse en Elly Dingemanse
Goed op weg
2
IBP beleid is vastgesteld.
De kapstok is gereed.
Afspraken en procedures
zijn vastgelegd in een
gedragscode.
Maar hoe pak je de
communicatie op?
Bewustwording
Beleid en afspraken zijn niet voldoende.
De mens is vaak de zwakste schakel bij het ontstaan van beveiligingsincidenten en datalekken.
3
Maak medewerkers, ouders en leerlingen bewust van de
risico’s bij het omgaan met persoonsgegevens en het
gebruik van ict.
Weten je medewerkers inmiddels
4
Wat de AVG betekent voor het dagelijkse werk?
Waarom IBP belangrijk is?
Wat een datalek is en hoe het kan ontstaan?
Wat de afspraken zijn over sociale media?
Waar ze verantwoord met persoonsgegevens kunnen werken (in de
cloud)?
Wanneer en Welke persoonsgegevens ze met Wie mogen
uitwisselen?
Waarom je beter kunt delen dan mailen?
Welke voorwaarden er gelden gebruik van beeldmateriaal?
Wie je binnen de organisatie om advies kunt vragen en wie er
verantwoordelijk is voor IBP?
Staat toch allemaal in de gedragscode…
Bewustwording per onderwerp
Versnellingsvraag 44
5
Drie schoolbesturen Dynamiek, Prisma en SPOV (samen 51 locaties) gaan samenwerken op
beleidsmatige en inhoudelijke thema’s.
Waaronder: Informatiebeveiliging en privacy (IBP).
Vanuit een gezamenlijk geformuleerd IBP-beleid is er vraag naar producten om te werken aan
bewustwording.
Bewustwording van de risico’s rondom informatiebeveiliging en privacy moet zorgen voor een
gedragsverandering.
Uitkomsten versnellingsvraag 44
6
Met de uitkomsten van Versnellingsvraag 44 presenteren we een totaal pakket voor bewustwording
over IBP in vorm van nieuwsbrieven, filmpjes en een flyer.
Video’s bij de IBP-berichten
7
https://www.youtube.com/playlist?list=PLQI9hXCcoK1RYAfdrUXfFP4gXBN_GRhLf
Privacy gaat iedereen aan
8
Naast bewustwording bij medewerkers moeten we ook de ouders en de leerlingen niet vergeten
Gewoon beginnen… of toch niet
9
Is er een manier om bewustwording goed aan te pakken of is het een
kwestie van gewoon beginnen?
Gelukkig hoeft het maar 1 keer toch? Of is bewustwording iets wat
regelmatig aandacht vraagt?
Wat kunnen we leren uit ervaringen van anderen? Bijvoorbeeld van de
winnaar van de Awareness award van het MBO in 2017.
Kennismaking
10
Jack Haagen
Projectleider informatiemanagement
Wim Arendse
Adviseur informatiemanagement
Rotterdam - 2016 - Aan de slag
Nog 2 jaar tot de AVG van kracht wordt
Een plan - waar beginnen?
- wat wel, wat niet?
- wat nu, wat later?
Het verhaal van Zadkine - de aanpak
- waarom
- de resultaten
- lessons learned
Wat is Zadkine?
11
Wat is Zadkine
12
MBO - VAVO - Educatie (Taal & Inburgering)
18000 studenten
30 locaties in en rondom Rotterdam
1800 medewerkers
10 MBO scholen
Techniekcollege (samen met Albeda)
VAVO Rijnmond (samen met Albeda)
60 onderwijsteams
Centrale Service Dienst: CvB, HRM, FP&C, Onderwijsplein,
Audit & Control, M&C, F&H, AO en IM/IT.
6000 PC's en 500 laptops en 750 telefoons
500 Applicaties
Het plan - aanleiding
o Heel veel persoonsgegevens en privacygevoelige info
o Bedreiging en gevolgschade steeds complexer
o Impact groter door toenemende publiciteit
o Nieuwe privacy-wetgeving (AVG)
o Meldplicht datalekken
13
Het plan - doel
Praktisch gezien
Aantoonbaar alles doen om privacy van studenten en medewerkers te beschermen
Datalekken voorkomen
Als het toch mis gaat in staat zijn om snel en goed af te handelen (aantoonbaar)
Voorjaar 2016 “IBP Beleidsnotitie vastgesteld”
14
Het plan - focus
Prioriteit voor:
Awareness creëren
Verbeteringen in techniek
Later:
Dataregisters
Verwerkersovereenkomsten
Rechten betrokkenen
Privacyverklaring/Schoolgids/Reglementen
Governance
PDCA
Project “Zadkine Alert! – Informatieveiligheid en privacy”15
Het plan – belang awareness
Technische verbeteringen: Wachtwoordbeleid en implementatie ervan
Schijven encrypten (bitlocker)
In techniek kun je veel bedenken en realiseren net als rondom
beleid en procedures, maar
“Het grootste veiligheidsrisico zit tussen
toetsenbord en bureaustoel”
16
Het plan - awareness
Meldingen systeem inrichten
Enquête (meting)
Media en poster campagne
Awareness sessies
Enquête (meting)
17
Awareness
18
Cyber security
Informatiebeveiliging en Privacy (IBP)
Informatieveiligheid en privacy – IVPBeveiliging wordt voor je geregeld.
Veiligheid creëer je met z’n allen.
Instructies en sancties
Angst en bestraffen
Positieve insteek, met z’n allen werken
aan verbeteringen.Dus niet op basis van angst en bestraffen.
Awareness
“We hebben een schat aan informatie”
19
Awareness
Logo voor herkenbaarheid
4 thema’s (picto’s voor herkenbaarheid)
20Toegang tot PC’s Delen van informatie Mobiel werken Phishing mails
Awareness
Anders dan anders
Route = Aandacht Herkenning Nieuwsgierigheid Erkenning Kennis Gedrag
21
Awareness - gedaan
22
Awareness - gedaan
23
Nieuwsbrief artikelen over: Privacy
Posters
Intranet site en website
Bitlocker (versleuteling)
De tissuebox
Stickers thuis
Awareness sessies
Invullen enquêtes
Wachtwoordbeleid
E-mail berichten over: Incident meldingen systeem
Bitlocker
Enquêtes
Intranet site: Achtergrondinfo
Q&A
Documenten
Awareness - gedaan
24
Prikbordberichten over:
"Wat doe jij met je klompje goud?“
"Geef jij op vakantie zomaar een kopie van je ID?“
"Waarom zou ik een privacy incident melden?“
"Informatieveiligheid en privacy, al die posters. Wat nu?“
"Geef jij (een kopie van) je paspoort weg?“
"Doe jij je USB-stick op slot?“
"Schermvergrendeling“
"Met wie deel jij je inloggegevens?“
"Kan ik deze e-mail openen?“
"Help!!“ (over wat je wel en niet kunt vertellen door de telefoon)
"Wachtwoordstress“ (sterke en zwakke wachtwoorden)
"Oktober is de maand van Informatieveiligheid en privacy“
Awareness - resultaat
o Direct na eerste posters incidentmeldingen
o Veel awareness sessies leverden direct meldingen op
o In totaal 64 incidentmeldingen van okt. 2016 t/m juli 2017
o Twee gemeld bij Autoriteit Persoonsgegevens (datalekken)
o Bij één ervan betrokkenen geïnformeerd
o Voorbeeld - verloren of gestolen laptops en telefoons
- phishing
- persoonsgegevens bij printer/copier
- dossiers in verhuisdozen
25
Awareness - resultaat
o Bekendheid met het onderwerp, communicatie effectiever
o De informatie vanuit andere organisaties helpt
o Privacy berichten in de media ook
o Men signaleert zelf knelpunten, dilemma’s en vraagstukken
o Men weet het IVP-team te vinden
26
Awareness - anders
Wat zouden we mogelijk anders doen
Presentieregistratie bij awareness sessies voor betere sturing
en motiveren
Sessies en meten heeft veel inspanning gekost, kan wellicht
effectiever door combinatie met E-Learning
Mogelijk richting een verplicht karakter
27
Awareness - toekomst
28
Awareness is nooit klaar
Vertrouwelijke informatie op papier gevonden bij de
kopieermachine.
Telefoon gestolen, zonder schermbeveiliging en pincode
met toegang tot de e-mail box van Zadkine.
Dozen met studentendossiers toegankelijk voor
onbevoegden.
Phishing mail waarbij op de link geklikt is en persoonlijke
gegevens zijn ingevuld, o.a. wachtwoord.
Incidenten/casussen als eye-opener
29
Phishing email
30
IVP – huidige acties
o Privacy statement
o Reglementen (social media/ netwerk / wachtwoordgebruik enz)
o Schoolgids
o Dataregisters
o Vraagstukken Verwerkersovereenkomsten
Intake
Delen informatie
Diversen
o Meldingen (afhandelen, optimaliseren, analyseren)
o IVP Governance organisatie
Verschuiving van incidenten naar vragen!
31
IVP – huidige acties
32
1. Wettelijke verplichting
2. Uitvoering overeenkomst
3. Vitaal belang
4. Algemeen belang/
openbaar gezag
5. Gerechtvaardigd belang
6. Toestemming betrokkene
1. Vraag om toestemming
2. Deel alleen met personen die betrokken zijn
3. Minimaliseer de informatie die je deelt met externe partners
4. Verzamel geen gegevens buiten het SIS
5. Let in het bijzonder op bijzondere persoonsgegevens
6. “Vragen staat toch vrij” is niet altijd het geval
7. Sommige zorgmedewerkers delen geen informatie
7 GOUDEN REGELS
33
Ervaringen - aanbevelingen
34
o Zorg voor meldpunt voor start awareness campagne
o Registreer meldingen én neem actie !!
o Zoek collega’s / teams op - ga in gesprek !
o Betrek geïnteresseerde collega’s de beste ambassadeurs
o Pas planning aan n.a.v. vragen / issues
o Zorg dat je gevonden kan worden
o Draagvlak bij bestuur / directie is noodzakelijk
o Maar …. medewerking collega’s werkvloer makkelijker te bereiken
