Moodle is open source, wat houdt dit in voor de veiligheid?
Moodle is een open source leermanagementsysteem en dat betekent dat de broncode vrij beschikbaar is. Kijk maar op download.moodle.org. Wel zijn er regels waaraan je je moet houden en deze staan vermeld in de GPLv3 licentie, een van de bekendste open source licenties.
Iedereen met kennis van zaken kan de kwaliteit van de broncode bekijken en zien of er kwetsbaarheden en fouten in zitten. Geen enkele applicatie is foutloos en daarom zijn er ook regelmatig updates. Sommige IT’ers vinden het een risico dat alle kwetsbaarheden openbaar zijn, terwijl andere IT’ers zeggen dat dit juist de kracht van open source is. Omdat elke kwetsbaarheid gevonden kan worden, zal dit ook sneller worden opgelost. Uit onderzoek blijkt dat er niet meer of minder fouten in open source software zitten dan bij closed source. Het is aan de kwaliteit van de organisatie om fouten snel te ontdekken en op te lossen.
Geen licentiekosten? Is Moodle dan gratis?
Dat klopt. Je betaalt geen dure licentiekosten zoals bij andere LMS-en die ook nog veel minder mogelijkheden hebben. Maar kosteloos is het gebruik van Moodle ook niet. Je hebt altijd kosten, bijvoorbeeld voor de server waarop Moodle goed beveiligd staat. Er moet ook iemand zijn die de nieuwe versies installeert en ondersteuning geeft. De hosting leverancier van Moodle moet aantoonbaar voldoen aan de AVG, want dit staat zo in de wet geschreven. En liefst heeft de hostingprovider het ISO 27001 certificaat voor informatiebeveiliging, want dit is al jaren het minimum vereiste. Dit zijn allemaal terugkerende kosten die in rekening gebracht worden bij jou.
Maar draai het eens om? Geeft het jou een gerust gevoel als jij zelf hiervoor verantwoordelijk bent? Jouw Moodle site bevat straks veel persoonsgegevens en je wilt niet dat deze op straat komen te liggen. En wat doe je als er toch een technisch probleem is en je hosting leverancier zegt ‘van Moodle heb ik geen verstand, dit mag je zelf oplossen’.
Zelf hosten of veilig uitbesteden?
Regelmatig wordt Avetica benaderd met het verzoek om de hosting van Moodle over te nemen. Vaak met één van de volgende redenen:
- Onvoldoende expertise: De huidige hostingpartij of interne IT-organisatie heeft geen expertise (meer) van het technisch beheren van Moodle. Ze geven geen goede ondersteuning omdat ze geen kennis hebben van Moodle en hun antwoorden zijn gevonden op internet.
- Onvoldoende garanties: De ZZP-er biedt te weinig garanties over continuïteit bij ziekte of verlof
- Geen veiligheidscertificaten: De ZZP-er en/of de hostingprovider beschikt niet over de juiste certificaten voor informatiebeveiliging en privacy.
Kijk naar onze klantenlijst en zie dat zowel grote als kleine organisaties hebben gekozen voor Avetica om hun Moodle site te laten hosten. Zij richten zich op hun corebusiness en hoeven zich niet druk te maken over de techniek en veiligheid. Jij wil toch ook ontzorgd worden met de technische kant en lekker aan de slag met het bouwen van leerprogramma’s voor jouw deelnemers? Dit is precies wat Avetica met jouw leeromgeving wil doen. Laat ons veilig en snel jouw Moodle site hosten en wij ondersteunen jou met de functionele en onderwijskundige kant.
Avetica is ook ISO 27001 gecertificeerd en dat betekent dat een onafhankelijke IT-auditor onze informatiebeveiliging heeft goedgekeurd. Ook onze hostingprovider is ISO 27001 gecertificeerd en beschikt over een ISAE 3402 rapportage. Op deze manier heeft Avetica de ketenaansprakelijkheid goed geregeld.
Hoe heeft Moodle de veiligheid en privacy geregeld?
Zowel Moodle als Avetica hebben een duidelijke rol om de veiligheid en privacy goed te regelen. Dit zijn de drie belangrijkste maatregelen:
- Regelmatig nieuwe versies: Moodle hanteert een zogenaamd releasebeleid. Dat betekent dat er regelmatig nieuwe versies worden uitgebracht en dat oude versies hun ‘einde levensduur’ bereiken. Avetica zal de nieuwe versies installeren zoals beschreven in ons Service Level Agreement (SLA).
- Veel aandacht voor top 10 bedreigingen: wereldwijd is de laatste jaren de focus op veiligheid en privacy sterk toegenomen en ook bij Moodle. Stichting OWASP heeft een top 10 opgesteld van bedreigingen. Deze top 10 is een belangrijk hulpmiddel voor webontwikkelaars om kwetsbaarheden te identificeren en te voorkomen. Ook de ontwikkelaars van Moodle werken met deze lijst.
- Kwaliteit van de Moodle partner: veilige software is één kant, veilige servers is een ander verhaal. Daar komt de kwaliteit van de Moodle partner om de hoek kijken. Welke maatregelen heeft hij genomen om de veiligheid te garanderen en hoe wordt dit aangetoond? Vertrouw jij op zijn blauwe ogen voor de verwerking van alle persoonsgegevens van jouw deelnemers? Vanuit de AVG gezien is jouw organisatie verantwoordelijk voor de persoonsgegeven, dus dat wil je goed geregeld hebben. Avetica neemt informatiebeveiliging en privacy serieus en dit tonen wij aan met ons ISO 27001 certificering en ISAE 3000 rapportage. Er is een reden dat organisaties als KLM, ANWB en UWV kiezen voor Avetica als hun Moodle partner. Wij hebben het aantoonbaar goed geregeld en dat geeft vertrouwen en zekerheid. Dit vind je niet bij andere Moodle leveranciers.
Hoe gaat Moodle om met OWASP top 10 bedreigingen?
De laatste jaren is de focus op veiligheid en privacy sterk toegenomen. Uiteraard heeft de invoering van de AVG in mei 2018 daar flink aan bijgedragen. Ook in offertetrajecten en aanbestedingen wordt steeds vaker de vraag gesteld hoe Moodle en Avetica omgaan met veiligheid en privacy. Een terechte vraag want ook wij vinden het een bijzonder belangrijk thema en willen niet dat data van onze klanten op straat komt te liggen. Twee hoofdvragen komen steeds terug:
- Hoe heeft de Moodle dienstverlener de veiligheid en privacy georganiseerd?
- Hoe veilig is de applicatie (Moodle) zelf?
Voor punt 1 geldt dat wij, zo hierboven ook al genoemd, beschikken over een ISO 27001 certificaat én een ISAE 3000 type II rapportage. Daarnaast hebben wij veel expertise hoe je ook in Moodle zelf de privacy en informatiebeveiliging moet instellen. Zie onze serie blogs hierover.
Top 10 van OWASP
De stichting Open Web Application Security Project® (OWASP) heeft als missie de verbetering van de veiligheid van software. In 2013 hebben zij een eerste top 10 gepubliceerd van de grootste en meest voorkomende risico’s binnen webapplicaties. Eind 2017 is de lijst geactualiseerd. Deze top 10 is een belangrijk hulpmiddel voor webontwikkelaars om kwetsbaarheden te identificeren en te voorkomen.
De top 10 van bedreigingen
- Injectie van commando’s
- Authenticatie fouten
- Kwetsbaarheid van gevoelige data
- Externe XML-entiteiten
- Falende controle op rollen en rechten
- Configuratiefouten
- Cross-site scripting (XSS)
- Onveilige serialisatie
- Software zoals libraries en frameworks met (bekende) kwetsbaarheden
- Onvoldoende logging en monitoring
Voor een gemiddelde Moodelaar zijn de meeste punten abracadabra. Voor een Moodle software ontwikkelaar moet dit gesneden koek zijn.
Wat doet Moodle als ontwikkelaar van het LMS?
Veiligheidsrisico’s beslaan een zeer breed gebied maar er zijn drie belangrijke onderwerpen die een goed overzicht geven van hoe Moodle dergelijke risico’s beperkt.
1. Inbedden van beveiliging in de ontwikkelingsprocessen: Het ontwikkelproces van Moodle software omvat meerdere stadia van peer reviewing en testen. Bij het testen wordt niet alleen gecontroleerd of de dingen werken zoals bedoeld, maar ook of er geen beveiligingslekken zijn ingeslopen tijdens de ontwikkeling. Dit is een van de gedocumenteerde punten van de checklist voor collegiale toetsing. Zie de documentatie over informatiebeveiliging en het ontwikkelingsproces.
2. Informatie delen aan sitebeheerders van Moodle : Moodle heeft uitgebreide documentatie geschreven met aanbevelingen voor sitebeheerders om hun Moodle site veilig te configureren zodat beveiligingsrisico’s verminderd of geëlimineerd worden. Zie de documentatie met beveiligingsaanbevelingen en onze eerder genoemde serie blogs hierover.
3. Procedure omgaan met ontdekte risico’s en kwetsbaarheden: Moodle heeft een uitgebreide set aan procedures opgesteld hoe ze omgaan met meldingen van beveiligingsproblemen. Belangrijk onderdeel is de Moodle Tracker waar alle meldingen centraal worden geregistreerd en waar de community van Moodle ook toegang toe heeft. Ook is er een speciaal formulier om beveiligingsprobleem te rapporteren.
Zie de documentatie over Vulnerability Disclosure Program van Moodle.
Kracht van de Moodle community
Elke applicatie bevat fouten en moet onderhouden worden en dat geldt ook voor Moodle. Het feit dat de applicatie open source is betekent dat alle ontwikkelaars wereldwijd alle code kunnen zien. Eventuele fouten en onveiligheden kunnen zo sneller ontdekt en gerapporteerd worden. Hierin zie je de kracht van de Moodle community.
Wat doet Moodle om veiligheidrisico’s te beperken?
Veiligheidsrisico’s beslaan een zeer breed gebied maar er zijn drie belangrijke onderwerpen die een goed overzicht geven van hoe Moodle dergelijke risico’s beperkt.
- Inbedden van beveiliging in de ontwikkelingsprocessen: Het ontwikkelproces van Moodle software omvat meerdere stadia van peer reviewing en testen. Bij het testen wordt niet alleen gecontroleerd of de dingen werken zoals bedoeld, maar ook of er geen beveiligingslekken zijn ingeslopen tijdens de ontwikkeling. Dit is een van de gedocumenteerde punten van de checklist voor collegiale toetsing.
- Informatie delen aan sitebeheerders van Moodle: Moodle heeft uitgebreide documentatie geschreven met aanbevelingen voor sitebeheerders om hun Moodle site veilig te configureren zodat beveiligingsrisico’s verminderd of geëlimineerd worden.
- Procedure omgaan met ontdekte risico’s en kwetsbaarheden: Moodle heeft een uitgebreide set aan procedures opgesteld hoe ze omgaan met meldingen van beveiligingsproblemen. Belangrijk onderdeel is de Moodle Tracker waar alle meldingen centraal worden geregistreerd en waar de community van Moodle ook toegang toe heeft. Ook is er een speciaal formulier om beveiligingsprobleem te rapporteren.
Een cookie is een klein tekstbestandje dat een website op je computer zet op het moment dat je de site bezoekt. Ook Moodle maakt gebruikt van cookies. Als je cookies uitschakelt in je browser kan je niet inloggen in Moodle en kan je de leeromgeving niet gebruiken. Het goede nieuws is dat Moodle zelf geen tracking cookies plaatst. Moodle gebruikt twee cookies die minimaal nodig zijn om te kunnen werken:
- MoodleSession is een sessiecookie die het mogelijk maakt om je ingelogd te houden. Deze cookie wordt verwijderd wanneer je je afmeldt of je browser sluit.
- MoodleID is een cookie die je unieke ID in Moodle bewaart. Deze cookie wordt gebruikt om je te identificeren op de website.
Let op: als je externe content insluit in je lesmateriaal, zoals Youtube video’s, dan worden er cookies geplaatst door die andere platformen. Dit zijn vaak tracking cookies.
Vragen over privacy en veiligheid in Moodle
- gebruikersnaam
- voor- en achternaam
- e-mailadres
- IP-adres
- cookies (alleen technische cookies)
- bezoekgedrag (logfiles)
- social media
- profielfoto
- bio (beschrijving van de gebruiker)
- leerresultaten
- onderlinge communicatie tussen deelnemers en docenten
Je moet ingelogd zijn om een reactie te plaatsen.