Omvang en intensiteit cybersecurity-incidenten in onderwijs en onderzoek neemt toe

De omvang, dreiging en de intensiteit van grote cybersecurity-incidenten binnen de sector onderwijs en onderzoek is in 2021 toegenomen in vergelijking met 2020. Dat blijkt uit het Cyberdreigingsbeeld dat SURF jaarlijks publiceert.

De auteurs van ‘Cyberdreigingsbeeld 2021-2022 – Onderwijs en Onderzoek’ zien dat dit verschillende gevolgen heeft:

• Er is meer politieke aandacht voor de staat van cybersecurity in de sector.
• De discussie over publieke waarden is verder aangejaagd.
• Instellingen zien steeds meer het belang van samenwerking en werken ook daadwerkelijk sectorbreed meer samen.

Ook in 2021 was ransomware de grootste dreiging. Soms leidde dit tot ontwrichtende incidenten die de primaire processen in gevaar brachten. Een nieuwe trend die de auteurs zien is dat cybercriminelen na een hack dreigen met het publiceren van de buitgemaakte gegevens op het dark web als er geen losgeld wordt betaald.

Omdat de afhankelijkheid van softwareleveranciers serviceproviders en andere derde partijen kan leiden tot problemen is het volgens de auteurs belangrijk dat deze afhankelijkheden goed in kaart worden gebracht en dat er goede afspraken worden gemaakt met de leveranciers wie waarvoor verantwoordelijk is. Ook moeten collega-instellingen snel op de hoogte worden gebracht zodat zij actie kunnen ondernemen.

De auteurs wijzen erop dat het incident bij de Universiteit van Maastricht eind 2019 een keerpunt is geweest, omdat vanaf dat moment de meeste instellingen extra beveiligingsmaatregelen hebben genomen. Ook is er sindsdien meer bestuurlijke en politieke aandacht voor cybersecurity.

De auteurs stellen in hun conclusie ook dat samenwerking bij instellingen in onderwijs en onderzoek nodig is omdat er een tekort is aan expertise op het gebied van veiligheid. Dit heeft nog niet geleid tot meer investeringen in capaciteit. Wel wordt bij grote incidenten gemakkelijker informatie gedeeld.

Het Rijk en de sector onderwijs en onderzoek zijn steeds meer gaan samenwerken op het gebied van inkoop van IT-middelen en IT-diensten. Binnen deze samenwerking risico’s voor de verwerking van persoonsgegevens in kaart gebracht, onder andere door gezamenlijk data protection impact assessments (DPIA’s) uit te voeren. Dit alles draagt volgens de auteurs uiteindelijk bij aan een grotere weerbaarheid van de sector onderwijs en onderzoek.

Over het Cyberdreigingsbeeld

Het Cyberdreigingsbeeld 2021-2022 is gebaseerd op een survey onder 70 Nederlandse onderwijsinstellingen (mbo, hbo en wo) en onderzoeksinstituten. Daarnaast is gebruik gemaakt van publieke bronnen om trends op het gebied van cyberdreigingen in kaart te brengen. SURF brengt het Cyberdreigingsbeeld sinds 2014 jaarlijks uit.

Bron: SURF.