Mbo's en hoger onderwijs moeten van ministerie aan een SOC

Onderwijsdienstverlener SURF heeft zo'n SOC al opgezet en de eerste mbo's gaan zich daarbij aansluiten. Dit heeft Van Engelshoven vorige week laten weten in antwoord op Kamervragen over de hackaanval op het ROC Mondriaan. Nu geeft de demissionaire bewindsvrouw meer informatie over plannen voor betere digitale weerbaarheid in het middelbaar en hoger onderwijs.

Vanwege Maastricht

De demissionaire minister van Onderwijs, Cultuur en Wetenschappen schrijft een brief aan de Tweede Kamer in reactie op een rapport van de Onderwijsinspectie. Dat rapport is opgesteld naar aanleiding van de grote, succesvolle ransomware-aanval op de universiteit van Maastricht van eind 2019. "In deze brief geef ik mijn beleidsreactie op het nu uitgebrachte tweede deel van het rapport van de Inspectie."

Het door Van Engelshoven voorgestelde beleid omvat aansluiting van mbo- en ho-instellingen op een onderwijsbreed SOC. "De instellingen hebben inzake hun risicomanagement, zoals ik in eerdere brieven heb uiteengezet, reeds verschillende maatregelen getroffen. Cruciaal is het opzetten van een gezamenlijk Security Operations Center (SOC) onder SURF. Een belangrijk onderdeel van dit SOC is de 24/7 monitoring van netwerken en signalering van dreigingen om cyberincidenten te voorkomen."

'Blinde vlekken'

Die monitoring moet wat de demissionaire minister betreft niet vrijblijvend zijn. Dit ook vanwege onderlinge afhankelijkheid en ketenimpact. "In overleg met de VSNU, de VH, de MBO-raad en SURF wil ik verkennen hoe we alle instellingen kunnen stimuleren en aanmoedigen om deel te nemen aan een SOC oplossing, aangezien vrijwillige deelname van individuele instellingen aan een dergelijke oplossing blinde vlekken mogelijk maakt en de kwetsbaarheid van het stelsel als geheel vergroot."

Van Engelshoven noemt een aantal maatregelen die genomen moeten worden. "Kernelementen zijn dat elke instelling in het MBO en HO aan een vooraf afgesproken streefdoel voldoet, dat elke instelling wordt aangesloten op een mechanisme om 24/7 dreigingen te monitoren en dat elke instelling zich periodiek (ook) extern laat auditen." Maatwerk zal daarbij noodzakelijk zijn, geeft ze aan. "In het eerste kwartaal van 2022 wil ik met de sectoren een plan van aanpak met een kalender wanneer dit voor elke instelling gerealiseerd kan zijn."

Meerjarenproject

De aansluiting van onderwijsinstellingen op een breed SOC is wel een project dat meerdere jaren in beslag zal nemen. "Het is niet reëel, gezien de vereiste investeringen en vereiste capaciteit, ook van SURF, om binnen enkele jaren elke instelling aangesloten te hebben op een SOC-oplossing. Ik wil in het eerste kwartaal van 2022 een overzicht van de noodzakelijke (financiële, personele, capacitaire) vereisten en een kalender wanneer welke instelling kan worden aangesloten. Voor het onbekostigd onderwijs bezie ik met de NRTO hoe de niet-bekostigde instellingen aangesloten kunnen worden op informatieverstrekking ten aanzien van dreigingen."