Een cyberaanval op school: wie is verantwoordelijk?

In gesprekken met scholen over risicomanagement, waar cyberrisico onder valt, krijgen wij vaak te horen dat dit is uitbesteed en dat de school dus niet verantwoordelijk is voor de nasleep een cyberaanval. Helaas is niets minder waar. Je schoolbestuur is en blijft verantwoordelijk voor de gevolgen van een cyberaanval, ook als de IT buiten de deur is geregeld. Natuurlijk mag je van je IT-leverancier verwachten dat er goed werk wordt geleverd. Maar mocht dit niet het geval zijn, dan kom je al gauw in een juridisch steekspel. Dit is niet wenselijk. Een cyberaanval kun je niet voorkomen, maar er zijn een aantal zaken die je met je IT-leverancier kunt bespreken.

• Bespreek met je IT-leverancier of er MultiFactor Authentification (MFA) is op remote connecties. Ook accounts van IT-leveranciers kunnen worden misbruikt om zo bij jouw schoolomgeving te komen. Het is daarom van belang dat bij deze partijen ook MFA wordt afgedwongen als deze op afstand willen inloggen in jouw systeem.
• Zorg voor een incident response plan. Het advies van Verus is om zorg te dragen dat een dergelijk plan wordt opgesteld en dat dit plan niet alleen digitaal maar juist ook fysiek bewaard wordt op een veilige plaats. Mocht er zich een incident voordoen dan kun je altijd bij het fysieke exemplaar en ligt van te voren vast wie er betrokken moeten worden bij een incident en wat eenieders taak is. Dit kun je vergelijken met een brandbeveiligingsplan. En heb je een cyberverzekering afgesloten? Dan is het advies om een kopie van de polis (tenminste polisnummer, vervaldatum en het noodnummer) bij het incidentenplan toe te voegen zodat meteen de juiste gegevens beschikbaar zijn om melding te maken.
• Overweeg een Endpoint Detectie & Response (EDR-oplossing. Verzekeraars van cyberverzekeringen zien bij incidenten dat een dergelijke oplossing schade kan beperken of in sommige gevallen kan voorkomen.
  

Op de bestuurdersaansprakelijkheidsverzekering van Verus is geen dekking in het geval een bestuurder aansprakelijk wordt gesteld voor een cyberaanval. Een cyberverzekering voor jouw schoolbestuur zou een oplossing kunnen zijn. Wil je hier meer over weten? Neem dan contact op met verzekeringsadviseur Carola van der Meeren.