Hoe veilig zijn we nog bij Fontys?

Vergeet krimpcijfers, reorganisaties, werk- en studiedruk of nieuwe onderwijsmethodes. Het belangrijkste thema dat over heel Fontys heen hangt is digitale veiligheid. De Canvas-hack van eerder dit jaar maakte dat nog maar eens duidelijk. Hoe veilig is die digitale omgeving van Fontys?

Het was een bewogen jaar voor de dienst I&T. Maar welk jaar is dat tegenwoordig niet meer. Hackpogingen en aanvallen zijn geen zeldzaamheid, ze zijn aan de orde van de dag. Sterker nog: elke minuut vindt er wel een poging plaats in te breken in de systemen van Fontys.

Begin dit jaar had Bron een interview met directeur Thom Rutten en de information security officers Helmut Grams en Jos van Bijnen van de dienst I&T van Fontys. Dit keer schuift naast Rutten en Van Bijnen ook chief information security officer Hub Gerats aan.

Sinds het vorige gesprek is in mei al weer sprake geweest van een grote hack. Niet bij Fontys maar bij Instructure, het Amerikaanse bedrijf achter Canvas. Die digitale leeromgeving wordt door Fontys en wereldwijd duizenden andere onderwijsinstellingen gebruikt.

Om met dat laatste te beginnen: hoe is dat eigenlijk afgelopen? Hoeveel en welke data van Fontys zijn er destijds gehackt? Heeft Fontys ook losgeld betaald aan de hackers? 
Rutten: “Met die eerste vraag zijn we tijdens en na de hack druk bezig geweest. Maar ook wij hebben daar nog steeds geen duidelijk antwoord op gekregen. Daarover zijn we nog steeds in gesprek met Instructure, maar veel blijft onduidelijk. Wat het losgeld betreft: nee, Fontys heeft niets betaald.”

Gerats: “Iedereen moet simpelweg de policy hebben dat je nooit losgeld betaalt. Dat is ook in het beleid van Fontys vastgelegd.”

Om de risico’s van dit soort hacks te verkleinen, zei je dat Fontys nauwer gaat samenwerken met andere hogeronderwijsinstellingen, met de TU/e, met Brainport. Hoe staat het daarmee?
“Met de TU/e hebben we bijna dagelijks contact en dat gaat goed. Ook met de andere onderwijsinstellingen zijn we nog steeds in gesprek. Zo doen we nu ook mee met de pilot Nextcloud en onze docenten die daaraan meedoen zijn daar tot nu toe redelijk tevreden over. De samenwerking met en binnen Brainport staat op dit moment op een wat lager pitje.”

“De realiteit is ondertussen niet minder complex geworden. De hele soevereiniteitskwestie is door de Canvashack alleen maar relevanter geworden. Tegelijkertijd is het een illusie om te denken dat je afscheid kunt nemen van Bigtech.”

“Wat door de Canvas-hack ook duidelijk is geworden, is dat we geen back-ups van ons onderwijs hebben. Sommige docenten hadden gelukkig nog veel op hun computer staan, maar dat is natuurlijk niet de manier om te zorgen dat we onderwijs ook in tijden van een hack kunnen blijven organiseren.”

Gerats: “We moeten wel iets als het om back-ups gaat. Eigen datacentra gaan niet de oplossing zijn, dat is niet meer van deze tijd. Eigen kopieën van de data is een goede oplossing, maar ook een kostbaar plaatje.”

Is Nextcloud daar een oplossing voor?
Gerats: “Nextcloud is in elk geval werkbaar. Het is niet meteen goedkoper, maar het verkleint de afhankelijkheid van Bigtech. Aan de andere kant: een bedrijf als Microsoft krijgt per seconde honderden aanvallen te verwerken. Als Nextcloud groot genoeg wordt, gaat daar hetzelfde gebeuren.”

Van Bijnen: “Je ziet overal het aantal hacks toenemen, ook bij Fontys. Het verschil met een paar jaar geleden is dat je nu niet meer weet wie erachter zit: een mens of AI.”

Vormt AI inmiddels ook een groot risico voor de digitale veiligheid van Fontys?
Gerats: “AI gaat niet weg. Wat wij nu moeten doen is aandacht besteden aan hóé je het inzet, en ondertussen het proces vertragen om AI zorgvuldig in te kunnen zetten.”

Rutten: “We richten het systeem zo in dat mensen er verstandig mee om kunnen gaan. Onze IT-architecten proberen te anticiperen op wat komen gaat. Maar ja, probeer daar maar eens op te anticiperen. We zijn nu wel aan het kijken of we het AI-platform van Fontys ICT over heel Fontys kunnen uitrollen.”

Al met al lijkt digitale veiligheid niet gewoon moeilijk te realiseren, maar simpelweg een illusie…
Gerats: “Honderd procent veiligheid bestaat inderdaad niet. Wat je wel kunt doen, is de voorwaarden scheppen waardoor je die veiligheid vergroot.”

Rutten: “Als dadelijk iedereen bij Fontys op vakantie is, wordt bij ons gewoon doorgewerkt. In het geval van Jos en zijn team: die zijn het hele jaar door 24/7 bereikbaar. Ook in de collectieve vrije week.”

“Het thema veiligheid is voor Fontys net zo belangrijk als voor de TU/e, daarin verschillen wij niets van elkaar. Ook hier vindt onderzoek plaats dat interessant kan zijn voor bepaalde partijen. Het Fontysbestuur is zich heel bewust van het belang van digitale veiligheid. Zij zien ook wel dat we niet alleen maar een kostenpost zijn en dat er voor die veiligheid in de toekomst meer investeringen nodig zullen zijn.”

Als Bron hier over een halfjaar weer bij jullie aanklopt, wat is dan het verhaal?
Rutten: “Over een halfjaar? Dan zit jij hier weer. Dan is er weer een incident geweest. En dan gaan wij weer uitleggen wat we daaraan gedaan hebben. Dat is nu het nieuwe normaal.”