Hoe security- en privacybewust is men in het onderwijs en bij onderzoeksinstellingen?

Onderwijs- en onderzoeksinstellingen scoren gemiddeld een 6.8 op privacy- en security-awareness. Dat blijkt uit de awarenessmeting die BDO heeft uitgevoerd in samenwerking met SURF, de coöperatieve vereniging van Nederlandse onderwijs- en onderzoeksinstellingen. Tijdens de cybersecurityawarenessmaand presenteren SURF en BDO de resultaten van de metingen. Dit doen zij in een rapportage die is gebaseerd op 26 metingen bij verschillende typen instellingen.

Awareness belangrijk in het voorkomen incidenten

Veel security-incidenten zijn gerelateerd aan handelingen van medewerkers. Denk bijvoorbeeld aan klikken op een phishing e-mail, een harde schijf met onderzoeksgegevens verliezen, in een gevoelige mail per ongeluk alle ontvangers in de cc zetten in plaats van bcc. Het is daarom belangrijk dat medewerkers en studenten privacy- en security-bewust zijn. De resultaten van dit onderzoek bieden inzicht en aanbevelingen om awareness binnen instellingen te verhogen.

Focus op docenten en onderzoekers noodzakelijk

Uit de meting blijkt dat de awarenessniveaus ongeveer vergelijkbaar zijn. Ook is de motivatie om privacybewust en informatieveilig te werken onder medewerkers − naar eigen zeggen − hoog. Opvallend is dat de functiegroep onderwijs/onderzoek achterblijft in vergelijking met de andere functiegroepen, zowel in deelname aan deze meting als in resultaten. Een mogelijke verklaring is de hoge werkdruk. Privacybewust en informatieveilig werken krijgt daardoor wellicht minder prioriteit. Een andere oorzaak kan zijn dat de werksituatie, vooral bij onderzoekers, minder eenduidig is te vatten in een set regels of richtlijnen. Onderzoekers werken vaak in (internationale) samenwerkingsverbanden, waarin de regels en richtlijnen van de instelling niet zonder meer opgevolgd kunnen worden.

Stel vast wat privacybewust en informatieveilig werken inhoudt

Een van de aanbevelingen uit het rapport is dat instellingen duidelijk(er) moeten zijn in wat zij van medewerkers verwachten als het gaat om privacybewust en informatieveilig werken. Wees daarbij realistisch: tools of activiteiten verbieden als er geen redelijke alternatieven zijn is niet werkbaar. Medewerkers hebben daarnaast behoefte aan korte en bondige richtlijnen, opgesteld in heldere taal en die makkelijk te vinden zijn.

‘Het is niet dat ik niet aan privacy/veiligheid wil doen (ik doe het namelijk naar mijn beste kunnen/inzicht en waarschijnlijk is dat vrij netjes) maar ik heb geen tijd om documenten door te spitten om te kijken of het nog beter kan.’

Over de cybersecurityawarenessmaand

Naast techniek op orde hebben, is awareness een belangrijk onderdeel van het voorkomen van security-incidenten. Oktober is cybersecurityawarenessmaand. Deze hele maand vragen diverse organisaties, wereldwijd, aandacht voor cybersecurity(awareness). Ook BDO doet hier aan mee.

Download rapport

Heeft u interesse in het rapport? Download deze dan hier. Voor meer informatie kunt u contact opnemen met één van onze specialisten.

Drs. Marijke Stokkel, Senior manager Cybersecurity | BDO Digital

Robert van Vianen, Partner BDO Advisory | BDO Digital