Wachtwoordbeleid

Als school verwerk je persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres. More van medewerkers, leerlingen en oudersWaar ouders staat worden de wettelijke vertegenwoordigers bedoeld: personen die de ouderlijke verantwoordelijkheid dragen voor het kind. Dit kunnen ook verzorgenden zijn. More. De wet verplicht je om deze persoonsgegevens zo goed mogelijk te beveiligen. Dat doe je onder andere met een goed wachtwoordbeleid.

Om toegang te krijgen tot een computernetwerk, digitale applicatie of online toepassing moet je een wachtwoord invoeren. Een wachtwoordbeleid schrijft voor aan welke eisen zo’n wachtwoord moet voldoen, zodat de kans dat buitenstaanders toegang krijgen tot jouw netwerk of persoonsgegevens zo klein mogelijk is.

Is het wettelijk verplicht?

Een wachtwoordbeleid is een praktische maatregel die voortvloeit uit de Algemene Verordening Gegevensbescherming (AVG) om persoonsgegevens passend te beveiligen.

Meer informatie vind je in artikel 5.1 lid f van de AVG. Raadpleeg het normenkader IBP po vo voor maatregelen die hierbij horen. 

Wie doet wat?

Bij het maken van een wachtwoordbeleid zijn verschillende rollen betrokken met elk hun eigen taken:

• Het schoolbestuurHet schoolbestuur is het bevoegd gezag en daarmee eindverantwoordelijk voor alles dat met IBP te maken heeft. More ziet erop toe dat een wachtwoordbeleid wordt opgesteld.
• De ict-coördinatorIn het po meestal betrokken bij de praktische uitvoering van IBP. Deze rol kan afhankelijk van het soort onderwijs (po of vo) en van de grootte van de organisatie, ook vervuld worden door een Privacy Officer, manager IBP, verantwoordelijke IBP, informatiemanager, Security Officer, functioneel beheerder, ict-beheerder of kwaliteitsmedewerker. More of Privacy OfficerIn het vo meestal betrokken bij de uitvoering van IBP. Deze rol kan ook afhankelijk van het soort onderwijs (po of vo) en van de grootte van de organisatie, ook vervuld worden door een manager IBP, verantwoordelijke IBP, informatiemanager, Security Officer, functioneel beheerder, ict-beheerder, ict-coördinator of kwaliteitsmedewerker. More stelt het wachtwoordbeleid op.

Meer weten over de rol- en taakverdeling voor IBP? Ga naar rollen en verantwoordelijkheden.

Aan de slag

Een wachtwoordbeleid kan een document op zichzelf zijn of onderdeel uitmaken van je gedragscode. Heb je nog geen wachtwoordbeleid? De stappen hieronder helpen je op weg.

Stap 1 | Eisen aan het wachtwoord

Geef duidelijk aan waar een wachtwoord aan moet voldoen. Denk hierbij aan de lengte, gebruik van vreemde tekens, hoofdletters en cijfers.

Stap 2 | Delen van een wachtwoord

Leg vast dat een wachtwoord nooit gedeeld mag worden.

Stap 3 | Hergebruik

Leg vast dat een wachtwoord niet mag worden hergebruikt bij het verplichte wijzigingsmoment. Stimuleer medewerkers voor iedere applicatie een ander wachtwoord te kiezen.

Stap 4 | Wijzigingsfrequentie

Bepaal de termijn waarop een wachtwoord verplicht gewijzigd moet worden.

Stap 5 | Twee-staps-authenticatie

Bepaal en geef aan welke applicaties alleen toegankelijk zijn met een extra inlogstap, ook wel bekend als twee factor authenticatieAuthenticatie is het bewijzen dat je bent wie je zegt te zijn. Bijvoorbeeld door naar wachtwoord en/of een ander (biometrisch) bewijsmiddel te vragen bij het inloggen op een applicatie. Bij de authenticatie wordt gecontroleerd of het opgegeven bewijs (zoals een wachtwoord) klopt. More.

Stap 6 | Communicatie en bewustwording

Zorg ervoor dat iedereen op de hoogte is van het wachtwoordbeleid en zich eraan houdt. Hang bijvoorbeeld posters op en verspreid filmpjes over het belang van een sterk wachtwoord via je nieuwsbrief.

Hou rekening met

Verdieping