Studenten als ethische hackers en bestuurders in het crisisteam

De cyberaanval die Universiteit Maastricht wakker schudde

Eind 2019 werd Universiteit Maastricht getroffen door een grote cyberaanval. Jules werkte er destijds als ICT-beheerder. Toen veel systemen plotseling onbereikbaar waren, ging hij op zoek naar de oorzaak. “Al snel bleek dat het niet ging om een technische storing, maar om een cyberincident. Ik sloeg alarm bij de ICT-directeur.” Onderzoek op locatie bracht de ernst van de situatie aan het licht, waarna de universiteit snel een crisisorganisatie inrichtte.

De cyberaanval schudde Universiteit Maastricht wakker en bracht de digitale weerbaarheid in een stroomversnelling. De universiteit scherpte haar technische beveiliging aan, verdeelde verantwoordelijkheden en bracht risico’s beter in kaart. Ook kwam er meer aandacht voor de vraag wat er moet gebeuren als een belangrijke digitale voorziening uitvalt.

Van incident naar vaste aanpak

Digitale veiligheid kreeg na de cyberaanval van 2019 een vaste plek in de organisatie. Beveiligingsspecialisten brengen relevante dreigingen in kaart en medewerkers en ICT-specialisten voeren de maatregelen uit. Als Chief Information Security Officer (CISO) zorgt Jules voor het opstellen, uitdragen en actueel houden van het informatiebeveiligingsbeleid. Een onafhankelijke derde lijn controleert vervolgens of de afspraken in de praktijk werken. 

Ook de aandacht voor medewerkers en studenten nam toe. Phishing stond aan de basis van de cyberaanval en komt nog altijd veel voor. De universiteit organiseert daarom phishingtests en informatiemarkten. Voor veel applicaties is bovendien multifactorauthenticatie ingevoerd. Technische maatregelen alleen zijn volgens Jules niet genoeg: “Het is belangrijk dat medewerkers en studenten een hoog bewustzijn hebben van digitale veiligheid.”

De brand blussen én het onderwijs draaiende houden

Hoe die bredere aanpak uitpakt bij een nieuw beveiligingsincident, werd in mei 2026 zichtbaar. Toen kregen Universiteit Maastricht en andere onderwijsinstellingen te maken met een beveiligingsincident rond Canvas. Via deze digitale leeromgeving krijgen studenten studiemateriaal en opdrachten, leveren ze werk in en ontvangen ze berichten. Omdat het probleem bij de leverancier lag, had de universiteit de oplossing niet volledig zelf in de hand.

Universiteit Maastricht stelde Canvas uit voorzorg buiten gebruik en riep het crisisteam bijeen. De eerste reflex is volgens Jan-Tjitte technisch: het probleem zo snel mogelijk oplossen en ervoor zorgen dat Canvas weer veilig kan worden gebruikt. “Je wilt de brand blussen. Het huis staat in de fik, maar het onderwijs moet wel doorgaan. Dus zoek maar vast een ander huis.”

Dat ‘andere huis’ hoeft geen nieuw digitaal systeem te zijn. Het gaat erom dat docenten en studenten tijdelijk op een andere manier verder kunnen. Docenten geven bijvoorbeeld les zonder Canvas, studenten worden via een ander kanaal bereikt of een examen wordt verplaatst. Desnoods wordt er weer papier gebruikt.

Jules legt uit dat de universiteit samen met de crisismanager eerst de impact in kaart brengt. Vervolgens worden de mensen betrokken die nodig zijn om de gevolgen op te vangen. Bij dit incident bleef dat niet beperkt tot de ICT-afdeling: ook het bestuur, de communicatieafdeling, het onderwijs en vrijwel alle andere onderdelen van de universiteit kwamen in actie. 

Jan-Tjitte: “Ik kan me eigenlijk bijna geen afdeling binnen de universiteit voorstellen die niet bij de crisis betrokken was.” Jules vult aan: “Ook buiten de universiteit werkten we nauw samen. De CISO’s en bestuurders van de getroffen instellingen hielden intensief contact en stemden hun acties op elkaar af.”

Studenten met verstand van hacken

Bewustwording creëren betekent voor de Universiteit Maastricht niet alleen uitleggen wat medewerkers en studenten wel en niet moeten doen. Sommige studenten beschikken zelf over specialistische kennis van cybersecurity. Die benut de universiteit via MaaSec, een studievereniging binnen de Faculty of Science and Engineering. De studenten bekeken via internet welke digitale diensten van de universiteit zichtbaar waren en extra aandacht verdienden. Hun bevindingen verwerkten ze in een rapport waarmee de universiteit aan de slag ging.

Jules wil die samenwerking verder uitbreiden met gerichte penetratietests. Daarbij proberen studenten met toestemming een systeem binnen te komen zoals een hacker dat zou doen, om te ontdekken waar de beveiliging tekortschiet. “Het zijn studenten die kennis op een behoorlijk hoog niveau hebben.”

Jan-Tjitte noemt hen “een soort ethische hackers”. Studenten krijgen zelf een rol in de digitale weerbaarheid van de universiteit. Zij doen praktijkervaring op, terwijl de universiteit zwakke plekken kan opsporen en aanpakken. “Je laat jezelf testen door je eigen gemeenschap.”

Digitaal veilig word je niet in je eentje

Universiteiten zijn digitaal sterk met elkaar verweven. Ze gebruiken dezelfde systemen, delen infrastructuur en wisselen gegevens uit. Daardoor zijn ze ook van elkaar afhankelijk. “In die hoedanigheid is het lastig om in je eentje volledig je veiligheid te garanderen”, zegt Jan-Tjitte. “Dat gaat niet.”

Bij Canvas werd die afhankelijkheid concreet. Zeven universiteiten hadden met hetzelfde beveiligingsprobleem te maken. Hoewel iedere instelling Canvas anders gebruikt en de impact verschilde, was er een moment waarop voor alle zeven hetzelfde gold: het systeem kon niet worden gebruikt en een direct alternatief ontbrak. De universiteiten stemden het buiten gebruik stellen en de communicatie gezamenlijk af. Universiteit Maastricht kon Canvas relatief snel weer gebruiken en besprak ook die herstart eerst met de andere instellingen.

Jan-Tjitte ziet een duidelijk verschil met het bedrijfsleven, waar hij eerder werkte. “Daar was het toch vaker: ieder bedrijf voor zich.” In het hoger onderwijs ziet hij instellingen veel meer kennis delen. Via het landelijke CISO-netwerk heeft Jules contact met beveiligingsexperts van andere universiteiten. Volgens hem staat digitale veiligheid sinds 2019 veel hoger op de agenda. “Na wat ons overkomen is, beseft elke instelling wel hoe belangrijk cyberveiligheid is.”

Oefenen vóór de crisis

Wie tijdens een crisis goed wil samenwerken, moet daar al eerder mee beginnen. Tijdens OZON, een landelijke oefening voor cybercrises, oefenen instellingen uit mbo, hbo en wo met een gezamenlijk fictief incident. SURF, de ICT-coöperatie voor onderwijs en onderzoek, coördineert de oefening. Zo testen instellingen hun eigen crisisorganisatie en de samenwerking wanneer meerdere organisaties tegelijkertijd worden geraakt.

Daarnaast maakt iedere universiteit eigen draaiboeken voor ernstige verstoringen. Maatwerk is nodig, omdat de risico’s per locatie verschillen. Voor Universiteit Maastricht kan bijvoorbeeld hoogwater een probleem zijn: bij een overstroming van de Maas kunnen universiteitslocaties worden geraakt. De universiteit heeft al een crisismanagementprotocol met vaste verantwoordelijkheden, communicatieafspraken en aandacht voor de voortgang van onderwijs en onderzoek.

Veiligheid moet meer zijn dan een verplichting

Met de komst van de Cyberbeveiligingswet worden de eisen aan digitale veiligheid strenger. Jan-Tjitte houdt zich daar landelijk mee bezig als bestuurlijk trekker cybersecurity binnen Universiteiten van Nederland. Wetgeving kan instellingen in beweging brengen, maar regels alleen maken een universiteit nog niet digitaal weerbaar.

Jules wijst andere instellingen daarom op de lessen uit de cyberaanval van 2019. Na die aanval zijn aanbevelingen gepubliceerd, bijvoorbeeld over technische beveiliging en bewustwording onder medewerkers. Volgens hem zijn die lessen nog altijd bruikbaar voor andere instellingen. “Kijk naar wat er toentertijd is gepubliceerd over de Universiteit Maastricht en kijk of je de geleerde lessen zelf al hebt toegepast. Ik zou iedereen willen aanmoedigen ermee aan de slag te gaan.”