## Welke risico's zijn er en hoe verklein je ze?

Leestijd
11 minuten

Wat leer je?
In dit onderdeel leer je alle handelingen kennen om zoveel als mogelijk gebruik te maken van de ICT-faciliteiten die jouw werk aanbiedt.

Samenvatting
De onderwijsinstelling waar je bij werkt faciliteert je voor jouw werk zowel qua hard- als software. Deze middelen zijn over het algemeen voldoende om jouw werkzaamheden mee uit te kunnen voeren, maar toch komt het voor dat medewerkers aanvullende soft- en/of hardware wensen. Wees je bewust dat je bij nieuwe software naast een licentieovereenkomst soms ook een verwerkersovereenkomst nodig hebt. En dat je bij het gebruik van eigen hardware moet zorgen voor beveiligingsmaatregelen, zoals encryptie. En het uitlenen van je apparatuur, ook aan vrienden of bekenden, is in het kader van veiligheid geen goed idee.

## De ICT-faciliteiten van jouw werk

Iedereen probeert zijn of haar werk op de best mogelijke manier uit te voeren. De een heeft daar twee laptops voor nodig, de ander een speciaal softwareprogramma en weer een ander misschien wel alleen een mobiele telefoon. Er was een tijd dat je hier nog vrijwel niet over na hoefde te denken, zucht...

Nu, 40 jaar later, zien we hoe snel de ontwikkelingen zijn gegaan. Een mobiele telefoon en een laptop zijn de standaarduitrusting van de meeste medewerkers en studenten. Maar welke risico's kleven er aan het uitbreiden van je vaste set aan ICT-faciliteiten die jouw werk aanbiedt met eigen hard- en software? Kun jij per onderwerp bedenken wat de belangrijkste do's en don'ts zijn?

##
Het gebruik van zelfgekozen software

Iedereen kent het wel; je wilt snel even iets regelen voor je werk of hebt een leuk idee voor bijvoorbeeld een nieuwe werkvorm met studenten. Maar met de programma's op je laptop lukt het net niet om je doel te bereiken. Dus wat doe je? Even snel naar Google om te kijken of er een oplossing is. En ja hoor, een website die je nog niet kende biedt precies het juiste programmaatje aan!

Gelukkig hoef je tegenwoordig bijna geen programma's meer te downloaden, want dan loop je altijd tegen de restricties van systeembeheer aan. Bij de website die je gevonden hebt hoef je alleen maar even een account aan te maken, akkoord te gaan met de voorwaarden en je kunt direct aan de slag. Dat de studenten ook een account moeten aanmaken neem je voor lief, ze krijgen er straks veel voor terug. Toch..?

Wat denk jij dat de vier belangrijkste aandachtspunten zijn rondom software die je buiten de reguliere software van je onderwijsinstelling gebruikt? Bekijk hier het antwoord:

####

#### 1. Persoonsgegevens? Dan is een licentie alleen niet genoeg

Worden er in de nieuwe software die je wilt gaan gebruiken persoonsgegevens verwerkt? Dan heb je naast een licentie op de software ook een verwerkersovereenkomst nodig. Maakt de software geen gebruik van persoonsgegevens, dan is een verwerkersovereenkomst niet nodig. Is de nieuwe software bijvoorbeeld alleen een programma dat lokaal op jouw computer berekeningen uitvoert zonder persoonsgegevens te verwerken, dan heb je aan een licentie op de software voldoende.

#### 2. Ook een verwerkersovereenkomst nodig? Regel dat tegelijk met de licentieovereenkomst

Wil je nieuwe software gaan gebruiken en worden er persoonsgegevens in de software verwerkt? Dan moet je direct met de licentieovereenkomst ook de verwerkersovereenkomst sluiten. Zorg dat de afdeling Inkoop direct met dit proces meekijkt en de licenties/overeenkomsten voor je regelt. Sluit je eerst een licentie af en wil je daarna nog een verwerkersovereenkomst sluiten, dan is er waarschijnlijk niet alleen al persoonlijke data in de toepassing gebruikt, maar heb je ook een slechte onderhandelingspositie om de verwerkersovereenkomst alsnog goed te regelen.

#### 3. Zowel thuis als op je werk

Steeds meer software draait in de cloud en is daarmee 'unmanaged'; de software draait op de servers van de aanbieder zelf, zodat je er als organisatie geen omkijken meer naar hebt. Dan is aan de ene kant prettig, maar betekent ook dat je zowel thuis als op je werk directe toegang tot de software hebt. Je wachtwoorden en allerlei trackers waar de software mogelijk gebruik van maakt staan daarmee zowel op je privé als op je zakelijke apparatuur, wat het risico met zich meebrengt dat kwaadwillenden ook via je privé-apparatuur mogelijk bij je zakelijke data in die specifieke toepassing kunnen komen.

#### 4. Wie is het product?

Is een toepassing die je graag gaat gebruiken gratis? Grote kans dat jij dan het 'product' bent. Bijvoorbeeld de informatie die je over jezelf plaatst in een social media toepassing kan interessant zijn voor adverteerders. Zij betalen het social media platform voor toegang tot jouw data. Vraag je bij iedere gratis toepassing goed af wie of wat het product eigenlijk is, zodat je een goede afweging kunt maken of je de toepassing wel wilt gaan gebruiken.

## Het gebruik van privé apparatuur

Apparatuur die je privé bezit, zoals een telefoon, tablet of laptop, zet je vast wel eens in om zakelijke werkzaamheden mee te verrichten. Logisch, want het werken in de cloud zorgt ervoor dat je eigenlijk altijd en overal je werk kunt doen. Op zich is daar dus ook niks op tegen, tenzij je jouw privé apparatuur niet goed beveiligd.

Want via jouw privé apparatuur kan onder de 'juiste' omstandigheden een kwaadwillend persoon ook eenvoudig bij je zakelijke bestanden en toepassingen komen. En dat kan net zoveel (of zelfs meer) schade toebrengen aan de organisatie als in het geval dat men inbreekt in je zakelijke apparatuur. Het is dus van groot belang dat je goed weet hoe je met jouw privé apparatuur dient om te gaan als je daar ook zakelijke werkzaamheden op uitvoert.

Wat denk jij dat de drie belangrijkste aandachtspunten zijn rondom het gebruik van privé apparatuur? Bekijk hier het antwoord:

#### 1. Niet synchroniseren

Gebruik je een privé apparaat, zorg dan dat je altijd in de cloud blijft werken. Kopieer geen zakelijke bestanden naar je privé apparatuur en synchroniseer geen cloud dienst (zoals OneDrive) met je privé laptop, telefoon of tablet. Zo voorkom je dat bestanden op apparaten buiten je zakelijke hardware belanden.

#### 2. Wachtwoorden

Sla geen wachtwoorden voor zakelijke toepassingen op in de browser van je privé apparatuur. Doe je dat wel, dan kan iedereen met toegang tot je privé apparatuur ook direct in je zakelijke toepassingen komen, en daarmee mogelijk ook in je zakelijke bestanden en communicatie.

#### 3. Digitale hygiëne

Wil je toch gebruik maken van je privé apparatuur, zorg dan voor een goede digitale hygiëne op die privé apparatuur. Encrypt je harddisk, zorg ervoor dat alle toepassingen en je besturingssysteem up to date zijn, maak gebruik van een wachtwoordmanager en werk op je privé apparatuur altijd in de cloud met je zakelijke toepassingen.

####

## Het gebruik van social media

Eigenlijk is er voor het gebruik van social media (waar geen verwerkersovereenkomst mee is) binnen je zakelijke werkzaamheden een simpele regel: niet doen. Het gaat hierbij niet eens alleen om de bekende social media zoals WhatsApp, Facebook en Instagram, maar om alle toepassingen waarbij medewerkers en studenten online aan elkaar gekoppeld worden en data uitwisselen, zonder dat er met die toepassing afspraken zijn gemaakt over het verwerken van de persoonsgegevens.

Mag je dan helemaal niks gebruiken? Zeker wel. Binnen de onderwijsinstelling maken we gebruik van de toepassing [titel toepassing invullen] waarmee bijvoorbeeld medewerkers onderling contact kunnen houden en onder andere bestanden kunnen uitwisselen. Voor de communicatie tussen studenten en het uitwisselen van bestanden maken we gebruik van [titel toepassing invullen]. Deze toepassingen kun je veilig gebruiken: wil je toch gebruik maken van een andere toepassing waar geen verwerkersovereenkomst mee is, neem dan in alle gevallen eerst contact op met [naam contactpersoon/informatiemanager invullen].

Wat denk jij dat de vier belangrijkste aandachtspunten zijn rondom het gebruik van social media? Bekijk hier het antwoord:

#### 1. Toestemming alleen is niet voldoende

Vanuit de privacywetgeving betekent het geven van toestemming voor het gebruik van persoonsgegevens in een social media toepassing als Facebook of WhatsApp ook dat iemand die toestemming weer moet kunnen intrekken. Alleen, bij het accepteren van de voorwaarden van bijvoorbeeld Facebook of YouTube draagt de gebruiker het licentierecht op bijvoorbeeld afbeeldingen en video's die de gebruiker binnen die toepassing plaatst aan een Facebook of YouTube over.

Dat betekent dat Facebook, WhatsApp of YouTube alle foto's en video's die een gebruiker op hun platform plaatst, ook voor andere doeleinden mag gebruiken. Een bekend voorbeeld is een toeriste die in Japan plots haar profielfoto van Facebook op een reclame voor Facebook in een bushokje zag verschijnen. Het intrekken van je toestemming betekent dan dus niet meer dat daarmee alle content op het platform verwijderd wordt; die blijft gewoon binnen het licentierecht beschikbaar voor het social media platform zelf.

#### 2. Studenten hebben recht op een veilige leeromgeving, ook online

Leren betekent fouten maken. Binnen een afgesloten online omgeving die een onderwijsinstelling zelf aanbiedt en waar een verwerkersovereenkomst mee is kun je dit garanderen; in principe wordt er geen werk van de student buiten dit platform publiekelijk gedeeld. Maar vraagt een docent bijvoorbeeld aan studenten om een opdracht voor een college op een openbaar blog-platform uit te voeren, dan is daarmee het werk van de student buiten het platform van de onderwijsinstelling beschikbaar. En daarmee potentieel ook vindbaar voor toekomstige werkgevers en relaties. Een student (en ook een medewerker) heeft recht op een veilige, afgesloten online werk- en leeromgeving waar fouten gemaakt mogen worden en waarbij anderen buiten de onderwijsinstelling geen toegang tot de data hebben. Nu niet en in de toekomst niet.

#### 3. Bied altijd een alternatief

Het gebruik van social media is niet verboden. Wil je als docent bijvoorbeeld alleen bepaalde organisatorische wijzigingen aan studenten melden (dus geen persoonsgegevens), dan zou dat in principe via een Facebook-groep mogen. Maar het is verplicht om daarnaast een alternatief aan te bieden voor studenten die geen Facebook-account hebben of geen onderdeel van de Facebook-groep willen uitmaken. Studenten moeten ook alleen met gebruikmaking van de door de onderwijsinstelling aangeboden software alle informatie over de studie kunnen vinden.

#### 4. Hou rekening met hiërarchische relaties

Stel, je bent een leidinggevende en je vraagt al je medewerkers of ze tijdelijk lid willen worden van een WhatsApp groepje om zo stiekem de verjaardag van een collega te kunnen voorbereiden. Durft een medewerker die daar geen behoefte aan heeft dan nee te zeggen? Is de te verlenen toestemming dan echt vrijwillig? En die ene collega die maar twee dagen in de week werkt, durft die tegen een groep fulltime medewerkers in te gaan indien er een gezellige Facebook groep voor de hele afdeling wordt aangemaakt? Of die ene student die als enige in de werkgroep niet mee wil doen aan een opdracht op die nieuwe populaire chat-app?

Toestemming moet vrijelijk gegeven kunnen worden. In een hiërarchisch relatie (bijvoorbeeld in een medewerker - leidinggevende en in een student - docent relatie) is hier vaak geen sprake van voor een ondergeschikte omdat iemand zich mogelijk sneller verplicht voelt om toestemming te geven. Hou dus altijd rekening met eventuele hiërarchische relaties indien je anderen vraagt om gebruik te maken van bepaalde social media!