Cybersecurity onderwijs vraagt om keuzes die in geen enkele andere sector zo scherp liggen. Een onderwijsinstelling moet per definitie open zijn: duizenden studenten loggen in met eigen apparaten, onderzoekers delen data met partners over de hele wereld, en docenten wisselen van systeem afhankelijk van het vak dat ze geven. Tegelijk is het budget vastgelegd in een bekostigingsmodel dat weinig ruimte laat voor een securityafdeling van tien man. Die combinatie van maximale openheid en minimale middelen maakt cybersecurity onderwijs tot een vak apart. Het Cyberdreigingsbeeld onderwijs en onderzoek 2025 van SURF laat zien dat DDoS-aanvallen, malware en phishing de grootste risico’s blijven voor instellingen, met verstoring van onderwijsprocessen, uitval van systemen en reputatieschade als terugkerend gevolg.
Waarom het dreigingsbeeld in onderwijs anders is
Een bank kan bepalen wie er binnenkomt. Een hogeschool kan dat niet. Elk collegejaar stroomt een nieuwe lichting binnen met eigen laptops, eigen telefoons en eigen gewoontes, en na drie tot vier jaar vertrekken ze weer. De populatie ververst zich continu, wat betekent dat elke investering in gedrag binnen cybersecurity onderwijs opnieuw moet worden gedaan. Dat is een structureel kenmerk van cybersecurity onderwijs, geen tijdelijk probleem dat je een keer oplost.
Daar komt bij dat het aanvalsoppervlak breder is dan de meeste organisaties van vergelijkbare omvang. Een universiteit draait studieadministratie, roostersystemen, digitale leeromgevingen, onderzoeksclusters met rekencapaciteit, bibliotheeksystemen, en vaak nog gebouwbeheer en toegangscontrole. Onderzoeksdata heeft daarbij een eigen risicoprofiel: het gaat om resultaten die jaren werk vertegenwoordigen en die voor buitenlandse partijen interessant kunnen zijn. Een securityteam dat cybersecurity onderwijs serieus neemt, kijkt daarom niet alleen naar de studentomgeving maar ook naar de onderzoeksketen. Dat bredere blikveld onderscheidt cybersecurity onderwijs van een standaard kantooromgeving.
De sector heeft wel iets wat andere branches missen: georganiseerde onderlinge hulp. SURFcert is al meer dan dertig jaar het incident response team voor Nederlandse onderwijs- en onderzoeksinstellingen en biedt 24/7 ondersteuning bij beveiligingsincidenten, deelt indicators of compromise en helpt bij het opzetten van een eigen responsteam. Die sectorale ruggensteun verlaagt de drempel, maar neemt het werk niet over. Wie belt, moet zelf kunnen uitleggen wat er aan de hand is.
Het budgetprobleem is in werkelijkheid een capaciteitsprobleem
Instellingen wijten hun securityachterstand meestal aan geld. Kijk je naar de praktijk, dan blijkt het vaker om mensen te gaan. Er is wel budget vrijgemaakt voor tooling, alleen zit er niemand achter die de meldingen kan duiden. Een SIEM die niemand leest, is een dure logserver, en dat geldt in cybersecurity onderwijs net zo hard als elders. Een EDR-oplossing waarvan de alerts standaard op accepteren staan, verplaatst het risico alleen maar naar een dashboard dat niemand opent.
Die dynamiek is niet uniek voor cybersecurity onderwijs, maar hij is er wel extra hardnekkig omdat aanbestedingen makkelijker geld vrijmaken voor een product dan voor een functie. Hetzelfde patroon zien we bij organisaties die worstelen met cybersecurity opbouwen met een klein budget: de verleiding is groot om te kopen wat zichtbaar is, terwijl het rendement zit in wie het bedient. Een doordachte verdeling tussen mensen en tooling levert bij gelijkblijvend budget vrijwel altijd meer detectiekracht op.
Er is nog een reden waarom cybersecurity onderwijs zelden wint van andere prioriteiten in de begroting. Security levert geen zichtbaar onderwijsresultaat op. Een nieuwe practicumruimte is te openen met een lintje, een goed werkend detectieproces niet. Wie draagvlak wil bij het college van bestuur, zal het gesprek dus moeten voeren in termen van continuïteit van het primaire proces: hoeveel colleges vallen uit als de digitale leeromgeving een week plat ligt, en wat betekent dat voor de studievoortgang van vijftienduizend studenten.
Een werkbaar model met een klein team
De meeste instellingen hebben geen SOC en gaan er ook geen bouwen. Dat hoeft ook niet. Wat wel kan, is een gelaagd model waarin een kleine kern van eigen mensen de dingen doet die alleen zij kunnen doen, en de rest bewust elders wordt belegd. Binnen cybersecurity onderwijs bestaat die kern doorgaans uit twee of drie mensen die de eigen omgeving door en door kennen: welke systemen kritiek zijn, welk verkeer normaal is in tentamenweken, en waar de onderzoeksdata staat.
Die kennis is niet in te kopen. Een externe partij weet niet dat piekbelasting op het inschrijfsysteem in augustus normaal is en in maart verdacht. Dat is precies de reden waarom de afweging tussen uitbesteden en intern opbouwen in onderwijs vaker op een hybride vorm uitkomt: monitoring buiten de deur, duiding en besluitvorming binnen. Om die duiding te kunnen leveren heb je wel iemand nodig met analistenvaardigheden, en dat is doorgaans niet de systeembeheerder die er security bij doet.
In de praktijk werkt het goed om een bestaande beheerder op te leiden tot analist in plaats van extern te werven. Iemand die de instelling al kent, heeft een voorsprong die je met geen enkele vacature koopt. Een traject als de opleiding SOC T1 + T2 Analyst brengt die persoon van beheertaken naar gestructureerde triage en onderzoek, terwijl de omgevingskennis behouden blijft. Bij instellingen die de stap naar zelfstandig onderzoek willen zetten, is de opleiding SOC T3 Analyst de logische vervolgstap. Hoe je de rollen daaromheen belegt, staat uitgewerkt in ons artikel over het samenstellen van een eerste securityteam.
Studentaccounts en BYOD: beheersen in plaats van beheren
Het idee dat je apparaten van studenten kunt beheren, is in vrijwel elke instelling losgelaten. Wat overblijft is de vraag hoe je het netwerk zo inricht dat een besmet apparaat geen springplank wordt. In cybersecurity onderwijs doet segmentatie daar het meeste werk: studentenverkeer hoort niet op hetzelfde segment als de financiële administratie of de onderzoeksomgeving, en dat principe is met bestaande netwerkapparatuur meestal al deels te realiseren.
Accountbeheer is de tweede pijler. Onderwijsinstellingen hebben een uitzonderlijk hoog verloop in accounts, en juist daar ontstaan de gaten: afgestudeerden die nog toegang houden, gastdocenten met een account uit 2019, onderzoeksmedewerkers die van project naar project schuiven. Een strak proces voor het intrekken van rechten levert meer beveiliging op dan menig product dat op de markt wordt aangeboden. Dit is het minst spannende onderdeel van cybersecurity onderwijs en tegelijk het onderdeel met de hoogste opbrengst per geïnvesteerd uur.
Phishing blijft het meest gebruikte startpunt van aanvallers, en in onderwijs is de kans op succes groot vanwege de omvang en het verloop van de doelgroep. Awareness helpt daar alleen bij als het meer omvat dan een jaarlijkse verplichte module, iets wat we eerder uitwerkten in waarom security awareness training vaak niet werkt. Voor docenten en ondersteunend personeel is een gerichte Cyber Awareness Training effectiever dan een campagne die iedereen tegelijk bedient, omdat de scenario’s dan aansluiten bij het werk dat mensen daadwerkelijk doen.
Voorbereiding op het incident dat een keer komt
Geen enkele instelling ontkomt op termijn aan een serieus incident, hoe goed cybersecurity onderwijs ook is ingericht. De vraag is of het team dan weet wat het moet doen. Het NCSC beschrijft in zijn handleiding voor een incidentresponsplan zes stappen: rollen beleggen, een risicoanalyse doen, scenario’s beschrijven, een meldpunt inrichten, de plannen communiceren en vervolgens blijven oefenen. Die laatste stap is degene die het vaakst overgeslagen wordt, en precies daar zit het verschil tussen een plan op papier en een team dat handelt.
Oefenen hoeft geen extern bureau te kosten. Een tabletop met de betrokken beheerders, een communicatieadviseur en iemand uit het bestuur legt binnen twee uur bloot waar de besluitvorming vastloopt. Ons draaiboek voor incident response oefeningen geeft daar een opzet voor die zonder budget uitvoerbaar is. Instellingen die ook zelf sporenonderzoek willen kunnen doen, bijvoorbeeld omdat onderzoeksdata betrokken is, hebben baat bij forensische kennis in huis; de opleiding Cyber Forensics Expert richt zich op precies die vaardigheid.
Wat een incident uiteindelijk kost, wordt zelden vooraf berekend. Toch is dat het cijfer dat het gesprek met het bestuur verandert, omdat het de investering in cybersecurity onderwijs afzet tegen een bedrag dat wel op de begroting terechtkomt.
In ons overzicht van wat een cyberincident werkelijk kost staat de rekenmethode uitgewerkt die je daarvoor kunt gebruiken.
Van losse maatregelen naar opgebouwde capaciteit
De instellingen die de afgelopen jaren echt vooruit zijn gegaan, hebben iets gemeen: ze zijn gestopt met het najagen van losse maatregelen en zijn gaan bouwen aan mensen. Dat is dezelfde beweging die we beschreven voor de zorg, waar slim opleiden fundamenteel anders werkt vanwege de continuïteitseisen van het primaire proces. Onderwijs kent een vergelijkbare dynamiek: het rooster loopt door, ook tijdens een incident.
Capaciteit opbouwen begint met de vraag welke rollen je over drie jaar zelf wilt kunnen invullen. Voor de meeste hogescholen en universiteiten zijn dat er twee: iemand die detectie en triage doet, en iemand die het securitybeleid vertaalt naar de eigen omgeving. Beide zijn intern op te leiden vanuit bestaand IT-personeel. Op de pagina voor werkgevers staat hoe zo’n traject wordt ingericht, van open klas tot volledig in-company programma op de eigen tooling. Wie eerst wil zien welke niveaus er zijn, vindt op de pagina met alle opleidingen het volledige aanbod van beginner tot expert, waaronder de brede opleiding Cyber Security Specialist voor medewerkers die vanuit een andere IT-rol de overstap maken.
Cybersecurity onderwijs verbetert niet door meer producten, maar door mensen die de eigen omgeving begrijpen en weten wat ze zien. Dat is de enige investering in cybersecurity onderwijs die na een aanbestedingscyclus nog steeds rendement oplevert, omdat kennis in het team blijft terwijl licenties aflopen.
Wil je weten welk traject past bij de omvang en het volwassenheidsniveau van jouw instelling? Bekijk de eerstvolgende startdata of plan een kennismaking om de mogelijkheden door te nemen.
