Bij de Regionale Scholengemeenschap Goeree-Overflakkee (RGO) ontstond het besef dat met de invoering van het Normenkader Informatiebeveiliging en Privacy voor het Funderend Onderwijs (IBP FO), de eisen rondom informatiebeveiliging en privacy steeds belangrijker werden. Met de invoering van het nieuwe IBP FO was al snel duidelijk dat de school voor een uitdaging stond. De RGO wilde graag voldoen aan de hoogste normen, maar vroeg zich ook af waar ze nu precies stonden en wat er verbeterd kon en moest worden. Om daar meer inzicht in te krijgen besloten ze een informatiebeveiligingsaudit te laten uitvoeren door Safesecur Group.

We spraken met Julian de Goot, Hoofd ICT bij RGO, over zijn ervaringen met Safesecur Group en de impact van de audit. “We werden geconfronteerd met de informatiebeveiligingseisen van het IBP FO,” begint Julian, “dat bracht zowel externe druk als interne motivatie met zich mee om onze professionaliteit verder te ontwikkelen. Het onderzoek, in de vorm van een nulmeting, en het rapport dat we van Safesecur Group mochten ontvangen, hebben ons enorm geholpen. Ze dienden als een spiegel voor onze eigen IT-organisatie en gaven ons een vertrekpunt voor verdere verbetering.”

Versterking door analyse

De audit begon met een nulmeting naar de huidige stand van zaken op het gebied van informatiebeveiliging en privacy. “Het was een behoorlijk intensief proces,” herinnert Julian zich. “Je denkt dat je alles redelijk op orde hebt, maar tijdens zo’n audit wordt duidelijk dat er altijd ruimte is voor verbetering. Safesecur Group gaf ons een uitgebreide analyse van onze sterke punten en de gebieden waar we nog stappen konden zetten”. Het uiteindelijke rapport, aangevuld met best practices en concrete adviezen, hielp de RGO om de lat hoger te leggen en hun aanpak te versterken.

Julian vertelt dat sommige bevindingen confronterend waren: “We merkten dat bepaalde processen niet voldoende waren geformaliseerd. Op papier dachten we misschien dat we compliant waren, maar de audit toonde aan dat er nog werk aan de winkel was. Hoewel dat in eerste instantie wat tegenviel, zagen we het tegelijkertijd als een kans om te groeien.” Juist door de gedetailleerde rapportage van zowel de algemene punten, als het specifieke "laaghangend fruit”, kon de RGO snel actie ondernemen. “Het helpt enorm als er iemand van buitenaf, jouw organisatie langs de lat legt en kan aangeven waar je moet verbeteren. Daar valt veel uit te leren, en dat heeft ons geholpen om een vertrekpunt te definiëren.”

Formalisatie als sleutel tot verbetering

Eén van de belangrijkste veranderingen binnen de RGO na de audit was de focus op het formaliseren van processen. “Ik ben me nu veel bewuster dat het vastleggen van onze werkwijzen essentieel is,” legt Julian uit. “Er is namelijk voldoende afleiding tijdens een normale werkdag op school, waardoor je al snel in de waan van de dag beland. Belangrijk is hierbij om af en toe een stap terug te doen, en na te denken hoe we de dingen die we doen moeten gaan vastleggen. Na de audit ben ik echt op een andere manier naar onze informatiebeveiliging gaan kijken, omdat ik gezien heb hoe hoog de lat van het Normenkader ligt. Nu zit ik veel meer in het formaliseren van ons beleid: Waarom doen we de dingen zoals we die doen, en hoe evalueren we dit? Op die manier ben je dus automatisch ook al bezig met het verbeteren en overdraagbaar maken van je kennis en je werkzaamheden.”