‘Nieuw Ministerie van Digitalisering moet Nederland digitaal veilig maken’

Hoewel de samenleving en vrijwel alle beroepen direct of indirect afhankelijk zijn van IT-systemen, is die nadrukkelijke aanwezigheid van IT en bijbehorende digitale veiligheid niet terug te vinden in het Nederlandse onderwijs. Sterker nog, het blinkt uit in afwezigheid. Dat signaleren de deelnemers aan de Ronde Tafel Cyber Security Onderwijs. Zij willen dat dit gaat veranderen in het belang van de BV Nederland. Cyber security moet volgens hen verweven worden in alle opleidingen, op alle niveaus. En een Ministerie van Ditalisering moet er voor zorgen dat dit thema door de hele samenleving verweven raakt.

De Ronde Tafel Cyber Security is een initiatief van de Cyber Security Raad. Dit adviesorgaan van de regering signaleert een nijpend gebrek aan bewustzijn rondom digitale veiligheid in de samenleving en de noodzaak die er is om via onderwijs dit tij te keren. Ook baart het de Raad zorgen dat er te weinig professionals worden opgeleid op het gebied van cyber security en dat het Nederlandse onderwijs op dit vlak dreigt stil te vallen. Daarom heeft de Cyber Security Raad onderwijsorganisaties, ondernemers, brancheverenigingen en -platformen, wetenschappelijke instellingen, politici en beleidsambtenaren bij elkaar gebracht om gezamenlijk het probleem te definiëren en een oplossingsrichting te formuleren. De Cyber Security Raad zal zijn advies aan het kabinet over dit thema mede baseren op de resultaten van deze Ronde Tafel Cyber Security.

Veranderingen nodig

De manier van denken over digitale veiligheid in Nederland moet veranderen, stellen de deelnemers. Het ligt nu vaak op het bordje van specialisten. Meestal gaat het dan om informatiebeveiliging. Maar dat is niet langer voldoende. Vrijwel alle producten en diensten in de samenleving zijn afhankelijk van IT. We hebben als samenleving een vijfde domein gecreëerd – cyberspace, naast lucht, land, water en ruimte – waar we grip op moeten zien te krijgen. Alle systemen zijn in cyberspace met elkaar verbonden, met alle risico’s van dien.

Daarom is het belangrijk niet te focussen op IT, maar er boven te hangen en vast te stellen waar IT de business en de samenleving raakt. Want uiteindelijk gaat het om de continuering daarvan. De start van het nieuwe denken zou daarom social tech risk management moeten zijn. In dit denken gaat het om de risico’s die veroorzaakt worden doordat technologie mensen, maatschappij en business raakt. Als die in beeld zijn, kan een discussie plaatsvinden over wat we als samenleving acceptabele risico’s vinden en wat niet. Daar kunnen overheden, bedrijven en burgers dan hun maatregelen op nemen. Dit gaat veel verder dan de klassieke informatiebeveiliging door specialisten. In dit nieuwe denken heeft iedereen een rol. Het richt zich op het grotere geheel van een genetwerkte samenleving.

Collectieve verantwoordelijkheid

In die genetwerkte samenleving is het een collectieve verantwoordelijkheid om digitaal veilig te zijn. Net zoals we afspraken hebben gemaakt over het deelnemen aan het verkeer, zouden we ook afspraken kunnen maken over deelname aan cyberspace. Waarom wel een rijbewijs, maar geen cyber-rijbewijs? Waarom wel verkeersregels om ieders veiligheid te waarborgen en geen cyberregels? Net als in het verkeer hebben deelnemers aan cyberspace invloed op elkaars veiligheid. Mensen moeten zich daar meer bewust van zijn en daarin worden opgevoed en opgeleid.

Ook bedrijven zouden een actievere rol moeten vervullen in het cyber secure aanbieden van producten en diensten. Vaak staan nu de processen centraal. Proces engineers ontwerpen een fabriek en voegen processen kosteneffectief samen. Maar is dat ook veilig? De deelnemers aan de Ronde Tafel Cyber Security vinden dat bedrijven hun procesontwerp, maar ook hun producten en diensten, verplicht moeten laten toetsen op digitale veiligheid. Vanaf het begin moet veiligheid mee-ontworpen worden. De overheid zou hierin een sturende rol kunnen vervullen, via regelgeving en aanbestedingsregels. Ook zien de deelnemers een rol weggelegd voor verzekeraars. Als zij eisen stellen voor deelname aan een cyber-verzekering, gaan bedrijven nadenken over de risico’s van hun producten en diensten. De overheid zou zo’n verzekering vervolgens verplicht kunnen stellen voor al haar leveranciers.

In onderwijs integreren

De deelnemers aan de Ronde Tafel Cyber Security stellen dat Nederland nog niet digitaal veilig is. Dat is ons als samenleving overkomen. Iedereen ziet de voordelen in van de digitale wereld en maakt er dankbaar gebruik van. De risico’s zijn lange tijd niet onderkend. Het is nu tijd om daar aandacht aan te geven en de samenleving in te richten op cyber secure handelen.

Het onderwijs speelt daarin een belangrijke rol. Van basisschool tot universiteit moet basiskennis over cyber security worden aangeleerd. Dat kan als module ingericht worden, maar zeker bij beroepsopleidingen moet het een geïntegreerd onderdeel gaan vormen van het curriculum. Net als statistiek moet cyber security een vast onderdeel zijn van iedere opleiding. Want iedereen heeft in zijn beroep direct of indirect te maken met IT-systemen of producten en diensten die gebruik maken van IT. Die koppeling tussen de beroepspraktijk, IT en cybersecurity wordt door de deelnemers node gemist.

Probleem daarbij is dat het onderwijssysteem in Nederland lastig te veranderen is. Het Ministerie van Onderwijs, Cultuur en Wetenschappen laat het aan scholen en de beroepspraktijk over wat de inhoud van het onderwijsaanbod moet zijn. Daarom adviseren de deelnemers om als overheid te gaan sturen op kern- en leerdoelen op het gebied van cyber security, waar alle scholen op alle niveaus aan moeten voldoen.

Sexy maken

Cyber security maakt het mogelijk IT weer sexy te maken. Als het gaat om hacken en het tegengaan van cyberaanvallen, reageren studenten enthousiast: een dergelijke opleidingsrichting is cool. Dat wordt nog eens versterkt als bedrijven en onderwijsinstellingen samen een curriculum ontwikkelen en bedrijven gastlessen verzorgen. De praktijk trekt studenten over de streep.

De onderwijsrichting ‘cyber security’ moet dan wel aansluiten op de nog gezamenlijk te ontwikkelen compententieprofielen voor cyber security-specialisten. Door in publiek-private samenwerking onderwijs te ontwikkelen, sluit de inhoud aan op de beroepspraktijk en is het mogelijk toekomstgericht onderwijs te geven. Door het huidige gebrek aan kennis over dit thema in het onderwijs, lopen onderwijsinstellingen het risico dat zij gaan opleiden voor problemen van gisteren of vandaag, terwijl er behoefte is aan opleidingen die de problemen van morgen aanpakken.

Dat kan volgens de deelnemers gerealiseerd worden door als onderwijsinstellingen en bedrijfsleven nauw op te trekken en samen inhoud te geven aan opleidingen. Daarnaast zou de overheid een overkoepelende visie voor cyber security onderwijs moeten formuleren. Dit biedt de mogelijkheid om als overheid ondersteunende maatregelen te nemen ten behoeve van partijen die actie ondernemen om die nationale visie te verwezenlijken. De herinrichting van de Nederlandse samenleving en het Nederlandse onderwijs biedt grote kansen voor de BV Nederland. Een Ministerie van Digitalisering zou hierin een stimulerende functie kunnen vervullen en ervoor kunnen zorgdragen dat dit thema in de hele samenleving verweven raakt.

Martin Bobeldijk is communicatieadviseur bij de Cyber Security Raad