Veiligheid van Moodle

Wat wil je weten over veiligheid in Moodle

Hoe is de veiligheid geregeld met Moodle?

Moodle is open source, wat houdt dit in voor de veiligheid?

Moodle is een open source leermanagementsysteem en dat betekent dat de broncode vrij beschikbaar is. Kijk maar op download.moodle.org. Wel zijn er regels waaraan je je moet houden en deze staan vermeld in de GPLv3 licentie, een van de bekendste open source licenties.

Iedereen met kennis van zaken kan de kwaliteit van de broncode bekijken en zien of er kwetsbaarheden en fouten in zitten. Geen enkele applicatie is foutloos en daarom zijn er ook regelmatig updates. Sommige IT’ers vinden het een risico dat alle kwetsbaarheden openbaar zijn, terwijl andere IT’ers zeggen dat dit juist de kracht van open source is. Omdat elke kwetsbaarheid gevonden kan worden, zal dit ook sneller worden opgelost. Uit onderzoek blijkt dat er niet meer of minder fouten in open source software zitten dan bij closed source. Het is aan de kwaliteit van de organisatie om fouten snel te ontdekken en op te lossen.

Geen licentiekosten? Is Moodle dan gratis?

Dat klopt. Je betaalt geen dure licentiekosten zoals bij andere LMS-en die ook nog veel minder mogelijkheden hebben. Maar kosteloos is het gebruik van Moodle ook niet. Je hebt altijd kosten, bijvoorbeeld voor de server waarop Moodle goed beveiligd staat. Er moet ook iemand zijn die de nieuwe versies installeert en ondersteuning geeft. De hosting leverancier van Moodle moet aantoonbaar voldoen aan de AVG, want dit staat zo in de wet geschreven. En liefst heeft de hostingprovider het ISO 27001 certificaat voor informatiebeveiliging, want dit is al jaren het minimum vereiste. Dit zijn allemaal terugkerende kosten die in rekening gebracht worden bij jou.

Maar draai het eens om? Geef het jou een gerust gevoel als jij zelf hiervoor verantwoordelijk bent? Jouw Moodle site bevat straks veel persoonsgegevens en je wilt niet dat deze op straat komen te liggen. En wat doe je als er toch een technisch probleem is en je hosting leverancier zegt ‘van Moodle heb ik geen verstand, dit mag je zelf oplossen’.

Zelf hosten of veilig uitbesteden?

Regelmatig wordt Avetica benaderd met het verzoek om de hosting van Moodle over te nemen. Vaak met één van de volgende redenen:

Kijk naar onze klantenlijst en zie dat zowel grote als kleine organisaties hebben gekozen voor Avetica om hun Moodle site te laten hosten. Zij richten zich op hun corebusiness en hoeven zich niet druk te maken over de techniek en veiligheid. Jij wil toch ook ontzorgd worden met de technische kant en lekker aan de slag met het bouwen van leerprogramma’s voor jouw deelnemers? Dit is precies wat Avetica met jouw leeromgeving wil doen. Laat ons veilig en snel jouw Moodle site hosten en wij ondersteunen jou met de functionele en onderwijskundige kant.

Avetica is ook ISO 27001 gecertificeerd en dat betekent dat een onafhankelijke IT-auditor onze informatiebeveiliging heeft goedgekeurd. Ook onze hostingprovider is ISO 27001 gecertificeerd en beschikt over een ISAE 3402 rapportage. Op deze manier heeft Avetica de ketenaansprakelijkheid goed geregeld.

Hoe heeft Moodle de veiligheid en privacy geregeld?

Zowel Moodle als Avetica hebben een duidelijke rol om de veiligheid en privacy goed te regelen. Dit zijn de drie belangrijkste maatregelen:

Wat doet Moodle om veiligheidrisico's te beperken?

Veiligheidsrisico’s beslaan een zeer breed gebied maar er zijn drie belangrijke onderwerpen die een goed overzicht geven van hoe Moodle dergelijke risico’s beperkt.

Welke cookies heeft Moodle minimaal nodig?

Een cookie is een klein tekstbestandje dat een website op je computer zet op het moment dat je de site bezoekt. Ook Moodle maakt gebruikt van cookies. Als je cookies uitschakelt in je browser kan je niet inloggen in Moodle en kan je de leeromgeving niet gebruiken. Het goede nieuws is dat Moodle zelf geen tracking cookies plaatst. Moodle gebruikt twee cookies die minimaal nodig zijn om te kunnen werken:

Let op: als je externe content insluit in je lesmateriaal, zoals Youtube video’s, dan worden er cookies geplaatst door die andere platformen. Dit zijn vaak tracking cookies.

Moodle cookies

Vragen over privacy en veiligheid in Moodle

Sinds versie 3.5 (release mei 2018) voldoet Moodle aan de eisen die aan de AVG (GDPR) worden gesteld, Moodle is dus AVG proof. Houd er wel rekening mee dat dit niet betekent dat alle community- of maatwerkplugins ook AVG proof zijn. Een ontwikkelaar van een een plugin moet dit bewust implementeren. In Moodle is een rapport beschikbaar waarin per plugin wordt vermeld welke persoonsgegevens verwerkt worden.

Alle servers van Avetica staan in Nederland, dus binnen de Europese Economische Ruimte zoals de AVG voorschrijft. Alle data staat in Moodle en er wordt geen data geëxporteerd naar andere systemen, behalve ons eigen beheersdashboard.

Avetica is ISO 27001 gecertificeerd en heeft een ISAE 3000 type II rapportage met 111 maatregelen. Deze laatste wordt door een IT-accountant geauditeerd. Op verzoek kan deze rapportage gedeeld worden.

Bekijk de pagina over onze certificeringen van Avetica.

Avetica heeft een protocol voor beveiligingsincidenten en datalekken en deze procedure wordt jaarlijks geauditeerd.

Dat bepaal jij als de Gegevensverantwoordelijke. Avetica kan dit als Verwerker niet bepalen.
Na beëindiging van de overeenkomst is de data binnen 30 dagen volledig verwijderd.

De stichting Open Web Application Security Project® (OWASP) heeft als missie de verbetering van de veiligheid van software. Zij hebben een top 10 van grootste en meest voorkomende risico’s binnen webapplicaties opgesteld. Dit is een belangrijk hulpmiddel voor webontwikkelaars om kwetsbaarheden te identificeren en te voorkomen.
Lees in onze blog hoe Moodle hiermee omgaat.

Om ervoor te zorgen dat je Moodle site up-to-date is met de nieuwste functionaliteiten en veilig is, werkt Moodle met een releasebeleid. Avetica volgt dit releasebeleid zodat je te allen tijde beschikt over een versie die ondersteund wordt door Moodle HQ. Dit releasebeleid is een onderdeel van ‘passende beveiliging’ zoals de AVG (GDPR) dit voorschrijft. Meer informatie over het Moodle releasebeleid vind je op moodledev.io/general/releases.

Het releasebeleid houdt in dat er minor en major Moodle releases zijn. Een minor release is een update in dezelfde versielijn (gekenmerkt door de Z in x.y.Z versies, bijvoorbeeld van versie 4.1.3 naar 4.1.4). 

Bij Avetica is het uitvoeren van een update is inbegrepen in uw jaarlijkse hostingkosten omdat dit kleinschalige verbeteringen en bug fixes in uw huidige versie betreft. Updates voeren wij automatisch uit en treffen alleen de kernfunctionaliteiten van Moodle.  Toegevoegde Moodle plugins worden niet meegenomen in automatische updates. Ze blijven functioneren zoals ze dat voor de update deden.

Een major release is een nieuwe Moodle versie (gekenmerkt door X of Y in X.Y.z versies, bijvoorbeeld van versie 3.9 naar 4.1) en dit vergt een upgrade. Een upgrade is altijd een project waarvoor wij de kosten in rekening brengen.

Standaard wordt een Moodle versie 1,5 jaar ondersteund. Eens per drie jaar komt er een Long Term Support versie (LTS) uit die drie jaar ondersteuning krijgt. 

Nee, dat kan niet. De broncode van Moodle is openbaar, maar de data in Moodle absoluut niet. Je kan veilig Moodle gebruiken net zoals meer dan 360 miljoen andere Moodle gebruikers.

Nee, Moodle HQ en Avetica verkopen geen persoonsgegevens door aan derde partijen. Wij vinden het belangrijk dat gebruikers van onze software zich veilig voelen en dat hun persoonsgegevens worden beschermd. Daarom verkopen wij geen persoonsgegevens aan andere bedrijven of organisaties.

Zie ook de twee privacyverklaringen van Moodle HQ en Avetica.

Moodle LMS / Workplace is een leermanagementsysteem. Voor het online leren is het noodzakelijk dat er bepaalde persoonsgegevens bewaard worden.

Standaard bewaart een Moodle site de volgende persoonsgegevens:

  • gebruikersnaam
  • voor- en achternaam
  • e-mailadres
  • IP-adres
  • cookies (alleen technische cookies)
  • bezoekgedrag (logfiles)
  • social media
  • profielfoto
  • bio (beschrijving van de gebruiker)
  • leerresultaten
  • onderlinge communicatie tussen deelnemers en docenten


Paar opmerkingen hierover:

  • Gebruikers kunnen een aantal profielvelden zelf invullen en aanpassen, bijvoorbeeld social media en profielfoto.
  • Het is mogelijk dat sitebeheerders van een Moodle site extra profielvelden hebben toegevoegd waardoor er nog meer persoonsgegevens bewaard worden.
Hand click
Nieuws en tips over Moodle

Ontvang van elke blog die wij schrijven een notificatie op je e-mailadres, zodat je goed op de hoogte blijft over Moodle.
Afmelden is altijd mogelijk.

Voeg je bij 1.869 andere abonnees