O quadro normativo do IBP: o que os conselhos escolares devem providenciar antes de 2027 e 2030

O IBP normenkader (na íntegra: Normenkader Informatiebeveiliging en Privacy) é o marco nacional holandês para segurança da informação e privacidade no ensino fundamental e médio, elaborado para os conselhos escolares da Holanda. Ele descreve, por meio de 94 normas concretas — 69 para segurança da informação e 25 para privacidade —, o que uma organização escolar deve ter em vigor. Duas datas são fundamentais: até 2027, cada conselho escolar deve saber em que ponto se encontra e ter um plano; e, até 1º de janeiro de 2030, cada conselho deve operar no nível de maturidade 3 em todas as normas.

Neste artigo, explicamos o que o framework abrange e quem está por trás dele, como funciona a trajetória de crescimento até 2030 e como realizar uma medição de linha de base para que seu plano se baseie em fatos, e não em suposições.

Resumindo

• O que é: o IBP normenkader é a norma holandesa para segurança da informação e privacidade no ensino fundamental e médio, com 69 normas de segurança e 25 normas de privacidade.
• Quem: os conselhos escolares têm a responsabilidade final por todas as suas escolas.
• 2027: autoavaliação concluída e plano em vigor.
• 2030: nível de maturidade 3 em todas as normas a partir de 1º de janeiro de 2030.
• Início: uma avaliação inicial do uso de papel e do comportamento, além de um hábito de conscientização que acumula evidências ao longo dos anos letivos.

O que é o “normenkader IBP”?

O quadro normativo IBP foi desenvolvido pelo programa “Digitaal Veilig Onderwijs”, uma parceria entre o Ministério da Educação (OCW), a Kennisnet, a SIVON, o PO-Raad e o VO-Raad. Ele adapta as normas genéricas de segurança à linguagem e às situações específicas de uma escola: dados dos alunos no sistema de informações estudantis, contas de professores que também trabalham em dispositivos pessoais e fornecedores que processam dados em nome da escola.

O quadro é a resposta do setor a um problema prático: normas como a ISO 27001 foram elaboradas para empresas, não para um conselho com vinte unidades e um coordenador de TI. Cada norma do quadro vem acompanhada de um nível de maturidade, de modo que um conselho pode se autoavaliar e identificar exatamente onde estão as lacunas. As normas oficiais, os documentos de apoio e o instrumento de autoavaliação são publicados pela Kennisnet no site normenkaderibp.kennisnet.nl.

TIC na educação: por que a segurança digital se tornou uma questão urgente

As TIC na educação têm crescido mais rapidamente do que as medidas de proteção relacionadas a elas. Ambientes de aprendizagem digitais, sistemas de acompanhamento de alunos, provas on-line e centenas de aplicativos processam dados confidenciais sobre menores todos os dias. Ao mesmo tempo, as escolas se tornaram um alvo atraente: incidentes envolvendo ransomware em instituições de ensino demonstraram como uma única conta comprometida pode interromper as atividades educacionais por semanas e expor os dados de milhares de alunos.

É por isso que o setor optou por um marco comum, em vez de cada conselho elaborar sua própria política. O marco também resolve uma questão de governança: a segurança digital é explicitamente uma responsabilidade do conselho. O conselho detém a responsabilidade final pela segurança da informação e pela privacidade em todas as suas escolas, e não o coordenador de TI individual que, por acaso, se preocupa com o assunto.

Estrutura Normativa IBP 2030: a trajetória de crescimento rumo ao nível de maturidade 3

A estrutura inclui um plano de crescimento, o Groeipad, que detalha quando cada norma deve ser cumprida, para que os conselhos possam trabalhar em direção à meta em um ritmo realista. Dois marcos são os mais importantes. Até 2027, cada conselho escolar deverá ter concluído uma autoavaliação, para saber em que ponto se encontra, e deverá ter um plano para cumprir todas as normas. Até 1º de janeiro de 2030, cada conselho deverá atingir o nível de maturidade 3 em todas as normas.

O nível de maturidade 3 significa que as medidas estão documentadas e são aplicadas de forma consistente: não se trata de uma pasta que fica guardada em algum lugar, mas de uma prática diária que se mantém mesmo quando alguém verifica. Para a maioria dos conselhos, a distância até o nível 3 é maior no que diz respeito às normas organizacionais e humanas do que nas técnicas, e essas são exatamente as normas que demoram mais para mudar.

Observe que o “normenkader” é um documento independente: não se trata do NIS2. De acordo com a Lei de Segurança Cibernética da Holanda (Cyberbeveiligingswet), apenas o ensino superior financiado com recursos públicos está sujeito a essa designação; as escolas de ensino fundamental e médio, por sua vez, seguem o “normenkader”. Mais informações sobre isso na seção de perguntas frequentes abaixo.

Avaliação inicial: saiba qual é a sua situação em relação ao quadro de referência do IBP

A meta de 2027 é, essencialmente, uma avaliação de referência: saiba em que ponto você se encontra e elabore um plano com base nisso. Uma boa avaliação de referência combina a realidade no papel com o comportamento real em suas escolas, pois esses dois aspectos raramente coincidem.

1. Realize a autoavaliação. Avalie sua organização em relação aos padrões utilizando o instrumento oficial e o Groeipad no site do Kennisnet. Envolva o coordenador de TI e o responsável pela privacidade em conjunto: a segurança da informação e a privacidade se sobrepõem, mas são avaliadas separadamente.
2. Avalie o comportamento real. Uma política no papel pouco diz sobre o que as pessoas fazem numa terça-feira de manhã. Uma simulação de phishing mostra como a equipe reage a um ataque realista, e uma breve avaliação de conhecimentos revela o que eles sabem. Descrevemos como fazer isso em nosso guia sobre a avaliação de referência da conscientização em segurança.
3. Compare e estabeleça prioridades. A discrepância entre o que está no papel e o que acontece na prática indica onde reside o risco real. Dê prioridade às normas que o Groeipad destaca e às lacunas que afetam diretamente os dados dos alunos.
4. Inclua isso em um plano com responsáveis e prazos. A diretoria tem a responsabilidade final, portanto, o plano deve constar na pauta da diretoria. Designe um responsável para cada norma, repita a avaliação anualmente e você terá o relatório de progresso exigido para 2027.

Conscientização sobre segurança na educação: do papel à prática

Uma parte significativa das normas não diz respeito a firewalls, mas às pessoas: reconhecer tentativas de phishing, lidar com os dados dos alunos com cuidado, relatar incidentes em vez de ocultá-los. O Nível 3 exige que isso ocorra de forma consistente, o que descarta a ideia de um único dia de treinamento. Um workshop realizado em setembro já é esquecido em novembro, e o novo colega que começa em janeiro nem sequer teve a oportunidade de participar.

As escolas enfrentam um desafio específico nesse sentido: o tempo dos professores é escasso, as agendas estão lotadas e o grupo inclui funcionários de apoio e voluntários que raramente ficam sentados atrás de uma mesa. O ideal é um formato curto e recorrente: alguns minutos de treinamento por semana, por telefone ou pelo navegador, entre duas aulas. O próprio hábito se torna a sua prova. A participação e as pontuações por equipe mostram que a conscientização é treinada e aplicada continuamente, que é exatamente o que o nível 3 pede que você demonstre.

Guardey: do quadro de normas do IBP a um hábito semanal

A Guardey desenvolveu seu treinamento de conscientização em segurança com base em desafios semanais curtos, de cerca de três minutos, com gamificação, tabelas de classificação e sequências de dias consecutivos que mantêm as equipes engajadas ao longo do ano letivo. Simulações integradas de phishing abordam o aspecto comportamental da sua linha de base e mostram o progresso a partir daí. Tudo funciona no navegador ou no aplicativo móvel para iOS e Android; assim, um professor sem um local de trabalho fixo pode realizar o treinamento com a mesma facilidade que os funcionários que trabalham no escritório.

Os relatórios estão prontos para auditoria: participação, pontuações e progresso por equipe, exportáveis como evidência para normas como a NIS2 e a ISO 27001, e igualmente utilizáveis como documentação para as normas de conscientização do quadro normativo do IBP. Mais de 500 organizações utilizam o Guardey, incluindo o Parlamento Europeu. A implantação leva apenas alguns minutos e, em nossa página de educação, você pode ler como as escolas utilizam o Guardey na prática.

Perguntas frequentes sobre o quadro normativo do IBP

O quadro normativo do IBP é obrigatório?

O “normenkader” é o padrão com o qual o próprio setor educacional se comprometeu, com marcos definidos: uma autoavaliação e um plano até 2027, e o nível de maturidade 3 até 1º de janeiro de 2030. Não se trata de uma lei no sentido em que a AVG o é, mas espera-se que os conselhos demonstrem progresso ao longo do “Groeipad”, e os marcos são considerados vinculativos dentro do setor.

O quadro normativo do IBP na educação: ele também se aplica ao ensino profissionalizante (MBO), ao ensino superior profissional (HBO) e ao ensino superior (WO)?

Não. O “normenkader IBP” foi elaborado para o ensino fundamental e médio. O ensino profissionalizante e o ensino superior utilizam os marcos de referência da SURF, e o ensino superior financiado com recursos públicos está sendo regulamentado pela Lei de Segurança Cibernética (Cyberbeveiligingswet), que constitui a implementação holandesa da NIS2. Explicamos como a NIS2 trata o setor educacional, incluindo limites e obrigações, em nosso artigo sobre os requisitos da NIS2 para a educação.

O que é o nível de maturidade 3?

O quadro de referência avalia cada norma em uma escala de maturidade. O Nível 3 significa que as medidas estão documentadas e são aplicadas de forma consistente: o mesmo comportamento seguro em todas as escolas, todas as semanas, com evidências que comprovem isso. Essa combinação de documentação e prática consistente é o que os conselhos devem alcançar em todas as normas até 1º de janeiro de 2030.

Por onde você começa se ainda não fez nada?

Comece com as duas avaliações deste ano letivo: a autoavaliação para a vertente documental e uma simulação de phishing, além de uma avaliação de conhecimentos, para a vertente comportamental. Juntas, elas resultam no plano exigido para 2027. Inicie também o programa de conscientização imediatamente, pois os hábitos são o que mais demora para se formar e as evidências precisam se acumular ao longo de vários anos letivos.

O quadro normativo do IBP parece um exercício de conformidade, mas, no fundo, trata-se de uma promessa simples aos alunos e pais: seus dados estão seguros na escola. Os conselhos que começarem agora poderão distribuir o trabalho ao longo de três anos letivos e permitir que as normas comportamentais — as que levam mais tempo para serem assimiladas — amadureçam com o tempo. Os conselhos que esperarem até 2029 descobrirão que o comportamento não muda em um semestre.