Studenten verlangen naar meer keuzevrijheid om onderwijs in hun eigen tempo en op hun eigen voorwaarden te kunnen volgen. Ook de maatschappij verwacht steeds meer flexibiliteit van het onderwijs, zodat mensen zich tijdens hun professionele leven sneller en makkelijk kunnen om- en bijscholen.
In dit whitepaper zetten we in grote lijnen uiteen:
Begin 2024 schreef Talland College een aanbesteding uit voor een SIS, bestaande uit drie percelen:
Op deze percelen kon individueel en in combinatie worden ingeschreven en we zijn blij en trots te kunnen melden dat Talland College voorlopig gunt aan Educator voor Perceel 1, 2 én 3
Talland College waardeerde onze inschrijving met name op de volgende punten:
Hoe Educator flexibel onderwijs mogelijk maakt en het onderscheid tussen OC en SVB/KRS is voor Talland College helder geworden. Onze Onderwijscatalogus heeft een brede toepassing, zoals het inrichten van onderwijs op veel aggregatieniveaus en de herontwerptool (waarin het ontworpen onderwijs kan worden getoetst aan de onderwijsplanning). Er zijn met Educator ruim voldoende mogelijkheden voor integraties om de doelen te dienen en aan te sluiten bij ontwikkelen zoals OOAPI en OKE. En voor gebruikers en beheerders ziet het systeem er toegankelijk en eenvoudig uit. We hebben begrip voor en ervaring met de uitdagingen bij het samengaan van twee organisatieculturen en dat is voor Talland College zeer waardevol.
We hebben Talland College ervan overtuigd dat Educator een goede basis biedt voor gepersonaliseerd onderwijs. Het systeem biedt snel inzicht in de voortgang (zowel formatief als summatief) dankzij een dashboard met informatie per rol, die duidelijk, gedetailleerd en makkelijk aanpasbaar is. Het student-volgsysteem van Educator integreert bovendien naadloos met de Educator Onderwijscatalogus en diverse andere externe koppelingen. Talland College waardeert de bewezen en gedetailleerde aanpak met korte doorlooptijd voor implementatie en beheer, die bovendien flexibel is en gebaseerd op best practices.
Design is not just what it looks like and feels like. Design is how it works.
Bij gegevensbeheer ziet Talland College in Educator voldoende aandacht voor rollen, rechten en privacy. Educator scoorde goed op gebruiksvriendelijkheid: de schermen van de applicatie zijn visueel aantrekkelijk en overzichtelijk. Het KRS is op dit moment uitsluitend te gebruiken in combinatie met OC en SVB van Educator zelf. Educator heeft een degelijk verhaal en een realistisch beeld van de implementatie en het beheer en Talland College heeft vertrouwen in Educator om de ontwikkelingen te borgen.
Lorem ipsum dolor sit amet, consectetur adipiscing elit, sed do eiusmod tempor incididunt ut labore et dolore magna aliqua. Ut enim ad minim veniam, quis nostrud exercitation ullamco laboris nisi ut aliquip ex ea commodo consequat. Duis aute irure dolor in reprehenderit in voluptate velit esse cillum dolore.
Talland College heeft een goed beeld gekregen van Educator en vertrouwen in deze oplossing voor het inrichten van flexibel onderwijs, waarmee studenten het beste uit zichzelf kunnen halen. Een prachtig doel! Wij kijken uit naar een mooie samenwerking om dat te realiseren.
Met ingang van 1 januari 2024 wordt van het HO onderwijsveld verwacht dat ze zijn aangesloten op Registratie Instellingen en Opleidingen (RIO). De voordelen? Gegevens zijn makkelijker en op maat te ontsluiten, het geeft instellingen meer zeggenschap over de gegevens die worden vastgelegd en het vermindert administratieve lasten. Fontys Hogeschool, een van de toonaangevende onderwijsinstellingen in Nederland, was de eerste – en vooralsnog de enige – hogeronderwijsinstelling die zich heeft aangesloten op RIO. In dit artikel delen Kim Groeneveld, functioneel beheerder dienst Studentenvoorzieningen bij Fontys Hogeschool, Fons Dijkstra, softwareontwikkelaar bij Progress Onderwijsondersteuning, en Hub Dolmans, projectleider bij Stichting Studielink, hun ervaringen met dit traject.
Fons Dijkstra, softwareontwikkelaar bij Progress Onderwijsondersteuning: ‘Het Registratie Instellingen en Opleidingen (RIO) voor het hoger onderwijs is in 2021 geïntroduceerd en de conversie van de CROHO- en BRIN-data is begin 2022 afgerond. Sinds de introductie van het STAP-budget dient RIO ook als basis voor het scholingsaanbod dat ho-instellingen willen aanbieden binnen de STAP-regeling. Dankzij RIO wordt het beheer van opleidingsinformatie vereenvoudigd en worden duplicaten in data voorkomen. Bovendien speelt RIO in op de groeiende flexibiliseringstrend binnen het onderwijs. Het voortgezet onderwijs, primair onderwijs en middelbaar beroepsonderwijs zijn inmiddels aangesloten, het hoger onderwijs en de universiteiten zijn daar nog mee bezig. In tegenstelling tot de andere sectoren heeft het hoger onderwijs ervoor gekozen om RIO niet rechtstreeks te vullen, maar om gebruik te maken van de OOAPI standaard (Open Onderwijs API) om de gegevens door te geven aan RIO. De koppeling op basis van deze standaard heet SURFeduhub en is ontwikkeld door SURF, de ict-coöperatie van onderwijs en onderzoek. SURFeduhub is niet nieuw, maar is nu uitgebreid zodat er een centrale mapping gemaakt kan worden tussen de instelling, via SURFeduhub naar RIO.’
Kim Groeneveld, functioneel beheerder dienst Studentenvoorzieningen bij Fontys Hogeschool: ‘Fontys Hogeschool is al bijna tien jaar enthousiast gebruiker van het SIS van Progress. Toen het Centraal Register Opleidingen Hoger Onderwijs (CROHO) werd vervangen door het RIO moesten we als Fontys Hogeschool de overstap maken om ons ervan te verzekeren dat onze opleidingen in het nieuwe register worden opgenomen. Deze overstap stond al op de planning toen het ministerie van Sociale Zaken en Werkgelegenheid (SZW) de STAP-regeling (Stimulans van de Arbeidsmarktpositie) introduceerde, die in maart 2022 live is gegaan. Reden voor ons om de aansluiting op RIO te willen versnellen, omdat dit register aangeeft welke opleidingen in aanmerking komen voor de STAP-subsidie en het UWV – de uitvoerende instantie van de STAP-regeling – zijn gegevens uit RIO haalt. De aansluiting op RIO was een belangrijke strategische stap voor Fontys om te kunnen voldoen aan de eisen van de subsidie en studenten de nodige ondersteuning te kunnen bieden bij hun loopbaanontwikkeling.’
De aansluiting van Fontys op RIO was geen eenvoudig traject. Kim: ‘Toen wij de overstap wilden maken, was de automatische koppeling tussen Progress SIS en RIO nog niet operationeel. Om op tijd te zijn voor de STAP-regeling, hebben we sinds maart 2022 ons niet-reguliere aanbod, zoals zakelijke opleidingen, handmatig toegevoegd aan RIO. Het gaat om ongeveer 250 opleidingen, dus dat is een behoorlijke klus. Elke keer als de aanbieder een wijziging doorvoert in zo’n opleiding, moest die wijziging weer handmatig in RIO worden doorgevoerd. In mei van dit jaar hebben we ook onze reguliere, geaccrediteerde opleidingen handmatig opgevoerd. Dankzij de gezamenlijke inzet van Progress, SURF en Fontys is de werking van de OOAPI uiteindelijk net vóór de deadline van 3 juli – de meest recente aanvraagperiode voor het STAP-budget – gerealiseerd.’
Fons: ‘Gedurende een half jaar hebben we intensief samengewerkt. Met SURF bespraken we regelmatig de technische aspecten en Fontys vervulde een waardevolle rol als tester. Uiteindelijk hebben we de OOAPI-koppeling tot stand gebracht, zodat nu SURF de opleidingsgegevens automatisch uit het SIS van Fontys kan halen en in RIO kan plaatsen. Sinds de laatste STAP-ronde hoeft Fontys dus niet langer handmatig gegevens in te voeren.’
Kim: ‘Fons heeft flink wat aanpassingen moeten doen in het Progress-systeem om ervoor te zorgen dat de gegevens correct werden overgebracht naar RIO. Daarnaast was er nauw contact met Hub Dolmans, projectleider bij Stichting Studielink, hij fungeerde als een belangrijke schakel tussen SURF, DUO, Fontys en Progress . Alle betrokken personen begrepen de urgentie vanuit onze kant en hebben alles op alles gezet om ons te helpen. Hierdoor zijn we momenteel de eerste en voorlopig enige hogeronderwijsinstelling die live is gegaan met deze koppeling, iets waar alle betrokken partijen best trots op mogen zijn. Op dit moment is alleen het zakelijke aanbod automatisch gekoppeld. We streven ernaar om in de toekomst ook het reguliere onderwijs op dezelfde manier te koppelen.’
Fons: ‘In eerste instantie lag de focus van Fontys op de implementatie van STAP, dat fungeerde als vliegwiel, maar we moeten ook het verdere opleidingsaanbod in RIO gaan invullen. Het afgelopen half jaar hebben we iteratief gewerkt om de aansluiting in orde te krijgen. Tijdens het traject belde Hub regelmatig om te vragen hoe het ervoor stond en waar we tegenaan liepen. Dit contact verliep prettig en hij bood prettige ondersteuning. Daarnaast hebben we eens in de twee weken een overleg met alle instellingen die Progress SIS gebruiken. Want uiteindelijk moeten ze allemaal over op RIO.’
Hub Dolmans, projectleider bij Stichting Studielink: ‘De Open Onderwijs API Standaard is ontwikkeld om de uitwisseling van gegevens mogelijk te maken, waarbij SURFeduhub wordt ingezet als transportmechanisme. Voordat je met SURFeduhub aan de slag kunt, moeten je een aantal voorbereidingen treffen. Zo moet je instelling een zogenaamd OOAPI-endpoint maken om aan te sluiten op het SURFeduhub-platform. Dat vraagt om een goede samenwerking en mijn rol in het project van Fontys was zorgen dat alle partijen aangehaakt blijven. DUO en SURF als bouwers van de koppeling, Fontys zelf natuurlijk en Progress als leverancier van het SIS. Fons is absoluut voortvarend te werk gegaan en heeft mooi werk verzet. Na verschillende testrondes en de nodige aanpassingen werd eind juni besloten dat alles naar behoren functioneerde. Dankzij deze gezamenlijke inspanningen is Fontys de eerste hogeronderwijsinstelling die gebruikmaakt van de OOAPI, terwijl Progress de eerste leverancier is die dit in de praktijk laat zien. Hoewel andere leveranciers ook bezig zijn met implementaties, zijn zij nog niet op het punt dat ze productiewaardig zijn. Enkele andere instellingen werken ook aan hun eigen OOAPI-koppeling, maar zijn nog niet in de productiefase. Uiterlijk 31 december 2023 moeten alle instellingen gekoppeld zijn aan RIO. Dat vergt nog wel enige afstemming met alle andere HO instellingen, leveranciers, SURF en DUO.’
Het traject van aansluiting op RIO was voor Fontys Hogeschool een uitdagende reis. Kim: ‘Progress Onderwijsondersteuning heeft een belangrijke rol gespeeld in dit traject. Progress heeft zich enorm ingezet om ervoor te zorgen dat de gegevens van Fontys correct en gestructureerd in RIO werden opgenomen. Dit betekende dat het bestaande informatielandschap in Progress aangepast moest worden om overeen te komen met de vereisten van RIO. Daarnaast heeft Progress ervoor gezorgd dat de koppeling tussen Progress SIS en RIO goed functioneerde, waarbij de organisatie nauw samenwerkte met Hub en met SURF. De betrokkenheid van Progress en de expertise van Fons waren essentieel om de aansluiting op RIO succesvol te realiseren. Het was een lastig traject en we zijn nog niet klaar, maar we zijn dik tevreden met de mooie eerste stappen die we hebben gezet in deze reis.’
Laten we eerlijk zijn, een aanbesteding voelt nogal eens als een draak die getemd moet worden. Omdat scholen nu eenmaal onder de aanbestedingsplicht vallen, zit er niets anders op dan die draak te temmen. Maar hoe doe je dat zo optimaal mogelijk als aanbestedende partij? Ga je een ellenlange lijst met eisen opstellen of kies je voor een meer kaderstellende aanpak? Eén ding is zeker: de manier van uitvragen bepaalt wat je krijgt. Als leverancier nemen we vaak deel aan aanbestedingen en we hebben door de jaren heen van alles voorbij zien komen, van heel goed tot – zacht gezegd – wat minder goed. Een ding hebben we wel geleerd, hoe meer je de expert de ruimte geeft voor eigen inbreng, hoe beter de oplossing bij je zal passen. In deze blog geeft Roel Nicolai, consultant bij QSBN (Progress is onderdeel van QSBN), je zeven tips voor het schrijven van een goede aanbesteding, zodat je als onderwijsinstelling de optimale partner en de juiste oplossing kunt vinden voor jouw uitdagingen.
In veel aanbestedingen worden vragen gesteld op het hoe- en wat-niveau. Door meer vanuit het waarom te denken, geef je de inschrijvende partij veel meer ruimte om mee te denken over het hoe en wat.
Vergelijk het met het beklimmen van de Annapurna in Nepal, een van de uitdagendste beklimmingen ter wereld. Je kunt natuurlijk zelf vooraf helemaal gaan uitdokteren hoe je dat moet aanpakken, welke materialen je nodig hebt en wat de meest gunstige kant is om de beklimming te volbrengen. Die eisenlijst kun je neerleggen bij een sherpa. Je kunt ook een sherpa vragen: ik wil de Annapurna beklimmen in februari, hoe kan ik dat het beste aanpakken? De kans dat je de beklimming volbrengt wordt daarmee een stuk groter.
Kortom: benoem je doelstellingen en ambities. Een goede partner is, als een ervaren sherpa, niet alleen gewend om mee te denken in het realiseren van jouw doelstellingen, maar ook in hoe je die doelstellingen het beste kunt bereiken.
Ook hier geldt weer: vraag niet naar specifieke oplossingen (hoe), maar vertel wat en waarom je iets wilt en beperk het Programma van Eisen tot het minimale. Door de eisen te vervangen door user-stories (als… kan ik… omdat), stel je de inschrijvende partij in staat om te begrijpen wat de bedoeling is en zelf invulling te geven aan hoe je dat kan bereiken. Ter inspiratie vind je hier een Programma van Eisen voor de uitvraag van een online studiegids. Dit voorbeeld is natuurlijk breder toepasbaar.
Daarbij weten we uit ervaring dat verschillende oplossingen van verschillende aanbieders vaak in oplossingsrichting van elkaar verschillen. Door specifiek uit te vragen hoe de oplossing moet werken, sluit dit vaak aan bij een specifieke oplossing, terwijl als je het formuleert op wat en waarom niveau je verschillende partijen de ruimte geeft om de uitvraag op eigen wijze invulling te geven. Voordeel is bovendien dat deze aanpak je praktische handvatten geeft om oplossingen te vergelijken, bijvoorbeeld tijdens een demonstratie.
Kortom: beperk jezelf niet door al in oplossingen te denken.
Als het goed is, is een aanbesteding een start voor een langdurig partnerschap, want de af te sluiten overeenkomst is vaak voor minimaal acht jaar. Een gezamenlijke kijk op de wereld en de toekomst geeft daarbij richting. Geef de inschrijvende partij ruimte om haar verhaal te vertellen, haar visie op jouw visie te delen.
Kortom: focus op visie en toekomst en niet op het vervangen van wat je nu al hebt.
Door een hele lijst met eisen en specificaties op te nemen, timmer je alles dicht. Daarmee creëer je weliswaar (schijn-)zekerheid, je laat geen ruimte voor kansen.
Vergelijk het met het aanschaffen van een keuken. Je kunt natuurlijk heel gedetailleerd vastleggen dat je per se een keramische kookplaat, een vaatwasser, een combimagnetron, een ingebouwd koffieapparaat en een marmeren aanrechtblad wil. Gegarandeerd dat je dat gaat krijgen, maar je weet niet wat je dan eventueel mist. Door alleen kaders te scheppen – die is ongeveer de basiskeuken waar ik aan denk – geef je de leverancier de ruimte om met additionele opties te komen. Pas dan krijg je waardevolle input. Heb je weleens aan een stoomoven gedacht? Wist dat een inductieplaat veel sneller en zuiniger is dan keramisch?
Kortom: de kunst in de uitvraag is om de basis te definiëren en vervolgens ruimte te geven binnen de aanbesteding voor additionele kansen.
Maatschappelijke betrokkenheid en duurzaamheid worden steeds belangrijker, we hebben gezamenlijk een verplichting naar de toekomst. Dit mag je terug laten meewegen in de keuze voor je leverancier. Geef de inschrijvende partij daarom de ruimte om te vertellen hoe zij bijdraagt aan duurzaam en maatschappelijk verantwoord ondernemen.
Zo kregen wij laatst een aanbesteding waarin de aanbestedende dienst aangaf een ‘innovatieve bijdrage te verwachten ten aanzien van social return’. Hoe dit eruit moest zien werd niet helemaal tot in de details vastgelegd, maar ook hier werden slechts kaders neergezet op het vlak van toepasbaarheid, concreetheid, innovatiekracht en doordachtheid.
Kortom: vul niet in wat duurzaamheid of MVO inhoudt, maar laat dat aan de inschrijver.
Je zoekt een oplossing, maar vergeet niet aandacht te besteden aan geschiktheidseisen. Je zoekt immers een kwalitatief goede partner waarmee je duurzaam en langdurig wilt samenwerken. Hoe ziet dat er dan uit? Aan welke certificeringen moet een partner minimaal voldoen en welke zijn een wens?
Denk hierbij bijvoorbeeld aan informatiebeveiligingseisen zoals ISO27001 en ISO27007, kwaliteitseisen als ISO9001, milieueisen zoals ISO14001 of proceseisen zoals ISA9402.
Kortom: bepaal hoe hoog je de lat legt en hoe belangrijk het is dat een bepaalde kwaliteit aangetoond kan worden met een certificaat.
Een demo moet integraal onderdeel zijn van een aanbesteding. Bij een goede aanbesteding kan in de demo worden teruggegrepen op de user-stories. Je hebt aangegeven dat je bepaalde processen wilt ondersteunen, nu kan de inschrijver demonstreren hoe dat eruit kan zien.
Kortom: vraag niet uit wát je exact wil zien, vertel waarom je iets wil zien. Zo kan je potentiële partner – de expert – daar de best mogelijk invulling aan geven.
QSBN begeleidt en ondersteunt al ruim 25 jaar onderwijsinstellingen op het vlak van digitalisering en innovatie. Het bedient inmiddels meer dan twee miljoen leerlingen en studenten, docenten en medewerkers in het onderwijs. Met onze kennis en ervaring kunnen wij als geen ander helpen bij het formuleren van de aanvraag, die leidt tot het vinden van de juiste partner.
Rijksuniversiteit Groningen koos in 2009 voor Progress SIS, na al die jaren nog steeds tot grote tevredenheid. Karina Idema, Hoofd Studenten Informatie & Administratie, vertelt waarom de RUG zo tevreden is over zowel de oplossing van Progress als de samenwerking. ‘De mensen van Progress omarmen nieuwe ontwikkelingen, dat doen wij bij de RUG ook.’
De Rijksuniversiteit Groningen is een van de beste onderzoeksuniversiteiten van Europa. We bieden 180 bacheloropleidingen, masters en PhD-programma’s aan voor meer dan 35.000 internationale studenten vanuit elf faculteiten op verschillende locaties. Sinds onze oprichting, ruim vier eeuwen geleden, hebben we bijzondere academici voortgebracht, zoals de eerste vrouwelijke student, de eerste Nederlandse ruimtevaarder en verschillende Nobelprijswinnaars.
In 2009 hebben we gekozen voor de SaaS-oplossing van Progress, Progress.NET. Hun student- en studie-informatiesysteem ondersteunt al onze onderwijslogistieke processen, van inschrijving, studieplanning, voortgangsregistratie en rapportage tot aan de uitschrijving. Het technisch beheer en de infrastructuur wordt helemaal door Progress Onderwijs geregeld. Ook sluit het naadloos aan op Studielink, het landelijke aanmeldsysteem voor studies in het hoger onderwijs.
Ik werkte destijds in een andere rol en was alleen zijdelings betrokken bij de implementatie, maar ik kan wel begrijpen waarom de keuze op Progress is gevallen. In de eerste plaats is hun systeem heel betrouwbaar. Het werkt altijd en we kunnen er blind op vertrouwen dat alle gegevens kloppen. Het is ook een heel gebruiksvriendelijk systeem. Voor een nieuwe medewerker is het heel gemakkelijk om zichzelf wegwijs te maken in Progress SIS. Het systeem is namelijk heel intuïtief en je hebt niet veel uitleg nodig om te snappen hoe het werkt. Als er toch een training of ondersteuning nodig is, is Progress Onderwijs altijd beschikbaar voor hulp.
Behalve dat het systeem ons heel goed bevalt, zijn we ook heel tevreden met de samenwerking. Die wordt eigenlijk alleen maar beter. Progress is door de jaren heen steeds professioneler geworden, dat is heel fijn. Één van de mooie kwaliteiten van Progress is dat ze veel kennis hebben van het onderwijslandschap en hierin ook goed samenwerken met de onderwijsinstellingen.
Het team van Progress is vooruitstrevend en omarmt innovaties. Vanuit Studielink worden regelmatig nieuwe ontwikkelingen aangeboden en Progress is een van de SIS-leveranciers die daar vrijwel altijd wel aan mee wil werken. Die innovatieve houding vinden wij bij de RUG belangrijk. Toen Studielink de digitale machtigingen introduceerde, hebben we dat samen met Progress als eerste onderwijsinstelling opgepakt en uitgewerkt. Zo zijn we in het verleden regelmatig samen opgetrokken en dat zullen we ook in de toekomst blijven doen.
Sinds eind januari is Progress Onderwijs onderdeel van Breens Network. In de dagelijkse praktijk merken we er nu nog niet veel van, maar in de gesprekken met Jan Batteram hebben we het wel regelmatig over wat deze samenwerking ons kan gaan brengen. Ik vind het een goede ontwikkeling en ben ervan overtuigd dat het ons als onderwijsinstelling veel goeds gaat opleveren. De expertise die Breens Network met zich meebrengt, heeft ook een positief effect op Progress. We volgen dan ook met veel interesse de ontwikkelingen rondom de Digitale Campus en hebben alle vertrouwen in de toekomst.
Meer dan drieduizend organisaties hebben deze week schade geleden door het lekken van interne data op het Darkweb. De schuldigen? Ransomwarebendes. Maar ook zonder cybercriminaliteit kan software kwetsbaarheden vertonen. In deze blog vertelt Eamon Nerbonne, Senior Programmer bij Progress Onderwijsondersteuning, hoe wij ons weren tegen de boze buitenwereld.
Elke applicatie kent potentiële risico’s en kwetsbaarheden, daar zijn we ons bij Progress terdege van bewust. Om die risico’s zo klein mogelijk te houden, huren wij op regelmatige basis een wisselende groep experts in om onze applicatie te testen op zwakheden. Door middel van zogenaamde pentests (penetratietesten) maken zij inzichtelijk wat wij kunnen doen om onze applicaties nog veiliger te maken. Misschien vraag je je af of wij zelf ons systeem niet kunnen testen. Dat doen wij zeker, daar heeft collega John van der Molen al eens een mooie blog over geschreven. Maar nieuwe ogen zien nieuwe dingen en pentesten is een vak apart. Daarom laten wij ons graag ondersteunen door externe specialisten.
Bij zo’n pentest zorgen wij dat er een duplicaat van onze software klaarstaat voor de testers, inclusief verschillende accounts en toegang tot ons portaal en de website. Vervolgens proberen zij op de meest vreemde manieren in te loggen of toegang tot onze data te krijgen. Als er iets aan het licht komt dat niet de bedoeling is, rapporteren zij dat. Dat hoeft niet per se een beveiligingsrisico te zijn, het kan ook zijn dat iets er verwarrend uitziet of dat er bepaalde informatie bij de verkeerde mensen terecht komt.
Het is niet altijd duidelijk wat precies een beveiligingsrisico is. Dat kan ook een kwestie van perspectief zijn. Een aantal jaar geleden bleek het, dankzij een pentest, mogelijk om een overzicht van de vakken van een onderwijsorganisatie op te vragen zonder ingelogd te zijn. Is dat erg? Nee, iedereen mag weten welke vakken er gegeven worden aan een instelling en zolang er geen persoonsgegevens op zo’n lijst staan, is er niets aan de hand. Klopt als een bus, maar als je iets op kunt vragen wat je niet op zou moeten kunnen vragen, is dat toch in zekere mate een beveiligingsrisico. Want wat is er dan nog meer op te vragen zonder ingelogd te zijn? Het moet voor iedereen duidelijk zijn wat opvraagbaar is en wat niet. Als dat niet duidelijk is, ontstaan er misverstanden en misverstanden zijn in potentie het begin van een security-incident.
Onze software bestaat al sinds de late jaren 80 van de vorige eeuw, dat is al langer dan dat het world wide web bestaat. Sommige stukjes code zitten al sinds dag één in onze applicatie. Dat betekent dat we soms tegen een interessante erfenis aanlopen. Zo had een pentester eens een fictieve student aangemeld via Studielink. In deze fictieve naam kwamen bepaalde speciale tekens voor. Onze applicatie zelf kon daar prima mee omgaan, maar in het studentenscherm van het online portaal werd deze naam ineens als een stukje code geïnterpreteerd. Dat kan in theorie betekenen dat er een script uitgevoerd gaat worden, en dat is uiteraard niet de bedoeling. Gelukkig weten onze pentesters dat soort oneffenheden haarfijn te ontdekken. Wel zo’n veilig gevoel, toch?
Wil je ook graag met ons aan de slag of mogen we in 10 minuten ons systeem aan je uitleggen?
