Nieuwe kaart: basisonderwijs. 10% sites plaatst zomaar volgkoekjes, slechtst beveiligde onderwijslaag maar plukjes groen geven hoop

Vanaf 24 mei publiceert basisbeveiliging online veiligheidsmetingen van het basisonderwijs. Met meer dan 6000 vestigingen is dit de grootste kaart tot nu toe. De kaart is hier te bekijken.

De belangrijkste bevindingen:

  • De slechtst beveiligde onderwijslaag, maar plukjes groen geven hoop
  • 2% is veilig (133), 13% komt in de buurt, 83% onveilig, 2% onbekend/todo
  • 10% van de voorpagina’s van websites plaatst ongevraagd volgkoekjes
  • Risico’s zijn gelijk verdeeld over denominatie

Plukjes groen

Eerst het goede nieuws. Want tussen een zee van rood vallen plukjes groene instellingen op. Dit zijn samenwerkende basisscholen die het beheer van hun websites hebben gecentraliseerd. Zo scoren bijvoorbeeld de instellingen van Eenbes tussen Eindhoven en Helmond allemaal groen. Iedere school van deze samenwerking heeft een eigen website. We zien ook elders groene plukjes, zoals bij Iris in Kampen en PCBO in Apeldoorn.

Het leuke is dat Eenbes op haar eigen site ook een kaart heeft staan. Deze past precies op de positief beoordeelde instellingen in dezelfde regio. Zie de vergelijking hieronder. Basisbeveiliging staat links, Eenbes rechts.

Positief beoordeelde basisscholen in de regio Eindhoven/Helmond matchen exact de scholen van een samenwerking Eenbes.

10% ongevraagde volgkoekjes

We meten op 619 van de 6083 voorpagina’s ongevraagde volgkoekjes. Dat is iets meer dan op 10% van de sites van basisscholen.

Dit is uit te splitsen naar geloof (denominatie). Wanneer we dit doen ontstaat er een vrij gelijkmatige verdeling met één uitzondering. Dat zijn de gereformeerd vrijgemaakte basisscholen. Dit ontstaat omdat een enkele scholengroep (LEV-WN) hierin met 22 verschillende websites oververtegenwoordigd is.

DenominatieAantal hoofddomeinenMet ongevraagde volgcookiesPercentage
Totaal608361910.18%
Openbaar191319810.35%
Rooms-Katholiek18251769.64%
Protestants-Christelijk148415210.24%
Algemeen bijzonder315268.25%
Reformatorisch15942.52%
Gereformeerd vrijgemaakt1083431.48%
Antroposofisch7468.11%
Islamitisch691014.49%
Samenwerking PC, RK5147.84%
Interconfessioneel2528.00%
Bijzonder23313.04%
Samenwerking Opb., PC8112.50%
Evangelisch7228.57%
Hindoeïstisch6116.67%
Verdeling volgcookies op voorpagina’s per denominatie in het basisonderwijs.

De verdeling van de cookies schiet duidelijk één kant op: YouTube. Een quick-fix hiervoor is om youtube-noocookie.com te gebruiken, beter nog is om het filmpje te laden vanaf de website zelf of een leverancier die geen secundair belang heeft bij het aanbieden van video’s.

LeverancierOngevraagd volgkoekjeAantal[1]
YouTubeVISITOR_INFO1_LIVE634
Facebook_fbp91
LinkedInli_sugr10
Google Ads_gcl_au4
LinkedInUserMatchHistory3
Snowplow_sp_id.<HASH_OR_ID>2
[1]: Sommige instellingen gebruiken dezelfde site. Het aantal ontvangen cookies op het hoofddomein is absoluut. Daarom worden sommige cookies dubbel geteld.

Gebaseerd op de metingen bij het voortgezet en middelbaar beroepsonderwijs verwachten we dat alle metingen dezelfde gelijkmatigheid zullen hebben.

Slechtst scorende onderwijslaag

Ondanks de plukjes groen en het kleine online oppervlak per instelling scoort het basisonderwijs het slechtst van de onderwijslagen. We zien dat terug in de locatie van de dienstverlening (buiten de EU), nihile adoptie van security.txt en DMARC en ondermaatse privacy op websites.

Het is echter niet hopeloos: door het kleine online oppervlak (weinig domeinnamen/online diensten) en korte lijnen zal het leveranciers niet al te lastig zijn om beveiligingsmaatregelen door te voeren. Dit is bijna een ‘walk in the park’ vergeleken met de nachtmerrie van grote organisaties om ook maar het kleinste beetje beweging voor elkaar te krijgen.

De onderwijslagen zijn te vergelijken op alle metingen in het klassement. Dat is hier te vinden. Hieronder staat een screenshot van de vergelijking op moment van publicatie.

Veel voeten in de aarde

Het maken van deze kaart heeft veel meer voeten in de aarde gehad dan alle voorgaande kaarten. Daarom zijn we ook een stuk later met de publicatie. Dat komt omdat er 6000 instellingen tegelijkertijd worden getoond: iets dat we nog niet eerder hebben gedaan. Maar laten we bij het begin beginnen.

De informatie over basisscholen komt uit open data van de Dienst Uitvoering Onderwijs. Instellingen kunnen deze informatie vrijwillig aanvullen en is hierdoor vaak niet up to date of onvolledig. Bij 900 instellingen is de website met de hand vervangen of aangevuld. Informatie uit andere sites zoals scholenopdekaart.nl is niet gebruikt ivm copyright. Wij werken met een vrije licentie.

Ook is van de meeste basisscholen contactinformatie (e-mail) verzameld. Veel hiervan is geautomatiseerd, aangevuld met de hand door vrijwilligers en een deel is gegokt op basis van meest voorkomende adressen. De reacties hierop waren vaak: haal ons uit het databestand. De mailing is gelukkig eenmalig.

Dan is er nog een probleem: naamgeving. Er zijn 92 basisscholen genaamd “de regenboog” 🌈 . Wij houden van regenbogen, maar het is wel handig dat het gaat over de juiste regenboog in de juiste plaats. Daarom staat er nu overal in welke plaats de instelling zit. Om de instellingen verder uniek te maken hebben we het identificatienummer van de instelling (BRIN) aan de naam toegevoegd. Je kan helaas niet zoeken op plaatsnaam, omdat dan bijvoorbeeld “Gemeente Amsterdam” niet meer is te vinden door teveel resultaten.

De site is ook op allerlei plekken sneller gemaakt. Ons motto daarbij is: meer data maakt een snellere site. Dat zie je meteen terug bij het laden van de pagina: alleen de getoonde kaarten worden geladen. De zoekmachine wordt afzonderlijk geladen en is door tuning vlotter geworden. De kaart zelf had lange laadtijden (en kan nog verder worden versneld), maar ook dit is versneld door animaties te beperken.

Voor mensen die een groter scherm hebben is goed nieuws: je kan nu rapporten direct vanaf de kaart openen. Hierdoor is het makkelijker om instellingen met elkaar te vergelijken. Op de kaart: klik met de rechtermuisknop op een organisatie en selecteer de “embedded” / “ingebed” optie. Hieronder een voorbeeld van hoe dat eruit ziet.

Achter de schermen zijn er nog veel meer uitdagingen geweest, maar hiervoor schrijven we een aparte blogpost.

Ter afsluiting: mooie kaarten

Omdat de gegevens van openstreetmap en basisscholen er tof uitzien hierbij een aantal mooie screenshots.

Updates Februari 2024

Beter laat dan nooit: Happy new year! Alles dat we in 2023 hebben gedaan staat in het basisbeveiliging jaaroverzicht 2023.

Klassement

Onlangs is het klassement live gegaan. Hierin kan je doelgroepen met elkaar vergelijken op alle metingen. Lees meer hierover in de blogpost.

Upgrades overzicht metingen

De voorste pagina van het rapport bevat een overzicht van alle metingen. Dit wordt o.a. gebruikt voor compliance door een aantal organisaties. Om dit nog makkelijker te maken zijn de volgende dingen toegevoegd:

  • Er staat een datum & tijd op de volledige schermweergave
  • De lijst is als CSV te downloaden, zodat deze makkelijk te delen is met collega’s
  • Als iets vaker dan 1x voorkomt staat het erbij
  • Het verklaringssymbool verschijnt nu alleen als alle bevindingen zijn verklaard
Voorbeeld aantallen in overzicht
Voorbeeld datum en tijd voor compliance doeleinden

Onlangs bekeken

Op de voorpagina en de rapportenpagina staan nu de onlangs bekeken rapporten. Deze lijst wordt in de browser opgeslagen en scheelt weer wat klikken.

Totalen slechtste en beste

De totalen van beste en slechtste worden nu in de tabbladen weergegeven, zoals te zien is in de schermafbeelding hieronder.

Overige kleine wijzigingen

  • De kaart voor de zorg heeft twee subkaarten: GGD en Ziekenhuizen
  • Er zijn ±15.000 domeinen uit de database verwijderd die al een tijd op “soft delete” stonden.
  • De kaarten laden iets sneller omdat popups nu ad-hoc worden aangemaakt
  • De keuzenlijsten van organisaties bij rapporten en de voorpagina worden nu per 100 stuks ingeladen, in plaats van alles in 1x, dat is sneller. Zoeken werkt nog hetzelfde.
  • Er is een uitzondering gemaakt op basis van ISP. Voor cloudflare keuren we een bepaalde open poort goed (tijdelijk).
  • Status pagina bijgewerkt voor previews van nieuwe kaarten.

Nieuwe metingen (januari 2023) – Software Identificatie, Overbodige Poorten

Er zijn weer nieuwe metingen toegevoegd aan basisbeveiliging. Het gaat om de volgende twee:

  • Software versie identificatie. We kijken of software op je server aangeeft welke (specifieke) versie er wordt gedraaid. Deze informatie wordt gebruikt door aanvallers om een specifieke aanval uit te voeren of te plannen. In een gehardende omgeving is deze informatie niet zichtbaar: in dat geval moet een aanvaller meer moeite doen om erachter te komen welke versie er staat, wat ofwel teveel moeite is of zorgt dat een aanval makkelijker te herkennen is. De maximale score is rood, dit gebeurd als er een volledig versienummer en sub-nummer te vinden is. Bijvoorbeeld 12.34.
  • Overbodige poorten. Voor dienstverlening naar burgers en medewerkers van je organisatie zijn maar een paar diensten nodig. We kijken in dit geval naar een paar poorten, de alternatieve HTTP poorten (8443 enzo): hierop staan vaak diensten zoals beheerders-interfaces en dergelijke. We raden aan om dienstverlening van deze alternatieven te staken en de dienst onder de standaard poortnummers te leveren. De informatie in deze scan is nog in beta, de maximale score is oranje.