Projecten

Op de bovenste etage van de Dutch Innovation Factory vinden we hbo-student Christian Everts en zijn medestudent Max Boon. De temperatuur hier wint het van de tropische omstandigheden buiten. Maar Christian en Max zijn niet weg te slaan. Het is de laatste dag van de pressure cooker waarin hbo- en mbo-studenten de cyberveiligheid van het schaalmodel hebben getest. Hun stage bij Siemens bracht hen in aanraking met dit schaalmodel. Die stage zit er eigenlijk al op, maar ze offeren hun vrije tijd hier graag voor op. Het schaalmodel, met alle broodnodige veiligheidstechnologie daarin verwerkt, is voor hen allang geen schoolopdracht meer. De brug is een beetje hun kindje geworden. 

Dit is het derde deel van een serie van drie verhalen over de samenwerking tussen Siemens, De Haagse Hogeschool, mboRijnland en de gemeente Zoetermeer rond cybersecurity in operationele technologie. Deel 1 ging over de verkeersbrug als testcase; deel 2 over samenwerken aan de infrastructuur van de toekomst. In dit derde deel zien we hoe studenten leren werken aan de digitale veiligheid van infrastructuur.  

Vrijgelaten
De betrokkenheid van de hbo-studenten Christian en Max en van mbo-studenten zoals Chakir Douiri is nergens opgelegd. Eerst was de brug voor hen een opdracht als zovele hiervoor. Met één verschil, en dat tilde deze opdracht al heel snel ver boven alle andere uit: zij werden volledig vrijgelaten in de uitvoering van de taak die ze gekregen hadden: aanvallen in het Red Team of de brug verdedigen in het Blue Team. Die vrijheid was maar heel even onwennig en gaf de studenten vervolgens vleugels. 

‘We hebben elkaar nodig’
Fabian Cras, ICT-docent bij mboRijnland, merkt het nog veel te vaak: het idee dat wat het mbo aflevert op de keper beschouwd minder waard is dan wat het hbo aflevert. Cras weet beter. Nu heeft hij twee weken lang met zijn studenten kunnen laten zien hoe dat idee is aangevreten door de werkelijkheid. “Ik wil niet direct zeggen, dat wíj het brein waren achter het verhogen van de veiligheid van de brug. Maar we deden absoluut niet onder voor de hbo-studenten. Daarom is het niet meer van deze tijd dat mbo-studenten vanuit hun opleiding minder betrokken zijn bij cybersecurity. Dat is niet alleen voorbehouden aan het hbo. Mbo en hbo vullen elkaar juist goed aan. We hebben elkaar keihard nodig. Als mbo komen we een heel eind, maar met het hbo komen we verder.”

Zelf nadenken
De twee weken pressure cooker legden nog iets anders bloot: goed onderwijs ziet er nu toch wel héél anders uit dan generaties voor ons hebben gedacht. Cras is daar erg uitgesproken over. “In het verleden was het zo dat iedereen in de klas hetzelfde moest doen en leren. Gelukkig zijn we daarvan afgestapt. Als docent is het niet mijn taak om kopietjes van mezelf te maken. Ik wil studenten afleveren die zelf kunnen nadenken en die de creativiteit hebben om zelf een hack uit te voeren. Om iets zo aan te sturen dat je het kunt hacken. Het onderwijs van de toekomst is wat mij betreft daarom: leer studenten zélf nadenken, en laat de docent de kennis geven die daarvoor nodig is. Goed onderwijs is niet dat alles wat ik zeg exact moeten worden gerepliceerd. Dat slaat nergens op.” 

Zelfstandig werken
Het is een filosofie die Roelofsma vanuit een andere hoek van harte onderschrijft. “Ik zie de twee weken pressure cooker als een aaneenschakeling van momenten waarop studenten iets hebben ervaren wat geen enkel lesboek hun kan bieden: ze hebben ervaren dat ze steeds competenter zijn geworden. Dat de verbinding tussen hen alleen maar is gegroeid en dat ze – door de optelsom van de eerste twee genoemde effecten – steeds doelgerichter met hun opdracht bezig zijn gegaan. Die ervaringen hebben ze opgedaan doordat ze binnen een strak tijdsbestek iets daadwerkelijk moesten laten werken. Soms lukte dat; soms helemaal niet. Van hun fouten leerden ze weer.” Chakir Douiri, tweedejaarsstudent ICT bij mboRijnland en daarnaast Security Compliance Analyst bij zijn werkgever, herkent precies dat mechanisme uit zijn eigen werk. “Ook daar kan ik zelfstandig werken, zelf nadenken en zelf doen. Dat was belangrijk in die twee weken pressure cooker; dat is elke dag belangrijk in mijn werk. Je leert het meest van je eigen fouten. Werken is altijd een proces van ontwikkelen en leren.” 

Risico’s signaleren
Mbo-kwalificatiedossiers benoemen zelden expliciet kundig worden in risicomanagement. Toch kwam die vaardigheid onvermijdelijk aan bod in de twee weken samenwerken aan het schaalmodel van de brug. Chakir zat in het Red Team. Met zijn medestudenten viel hij aan. “Wij maakten geen crisis mee; we veroorzaakten die bij het Blue Team dat moest verdedigen.” Precies dat contrast was belangrijk in het leerproces, vindt Cras. “Studenten zagen hoe essentieel het is om risico’s te signaleren en risicomanagement toe te passen. Zij moesten alles zelf doen aan de hand van specificaties die ze van mij ontvingen. Alles wat ze aanpasten, hebben ze moeten documenteren. Een documentatieplicht die onlosmakelijk verbonden is aan risicomanagement. Door tijdgebrek is dat stukje onderbelicht gebleven. Er was geen ruimte om daarop te reflecteren. Het resultaat van die documentatie zou je in principe kunnen vertalen naar een blueprint voor veilig werken.”

Meerwaarde boven stage
Christian en Max hadden de stage bij Siemens er al opzitten aan het begin van de pressure cooker. Toch was die volgens Welschen geen mosterd na de maaltijd. “In dit project hebben zij dingen geleerd die in een gewone stage niet aan de orde komen. De stage is vaak de verbinding tussen onderwijs en bedrijfsleven. Maar tijdens de stage werkt de student met hooguit twee of drie medestudenten in hetzelfde bedrijf. Wat we hebben gedaan in het brugproject omvatte veel meer. Studenten vormden een Blue Team en een Red Team. In welk team je ook zat, altijd was teamvorming essentieel om je doelstellingen te halen. Net zoals op de werkvloer. Het is echt een brug te ver om dat tijdens een gewone stage voor elkaar te krijgen. Het is helemaal ondoenlijk om dat aspect als werkgever goed te begeleiden. Dat is wél goed gebeurd tijdens de twee weken pressure cooker, georganiseerd door het Cyber Security Living Lab.”

Hij ziet nog een laag daaronder. “De studenten ontdekten dat één opleiding zowel de IT- als de OT-kant van security kan afdekken. Dat biedt een belangrijke meerwaarde wanneer zij de arbeidsmarkt betreden. Want laten we eerlijk zijn: heel veel van dit soort specialisten hebben we niet in Nederland. De kennis die de studenten in dit project hebben opgedaan, is keihard nodig. Dit project was daarom een mooie eerste stap. Nu moeten we zorgen voor schaalvergroting.”

Weg van de eilandjes
Dat de samenwerking tussen onderwijs en bedrijfsleven steeds hechter wordt, ziet Welschen als een logische, noodzakelijke ontwikkeling, al gaat dat niet vanzelf. “De techniek ontwikkelt zich op dit moment zo snel, dat het voor een opleiding bijna niet te doen is om daar adequaat op in te spelen. Maar de samenwerking is wel logisch en broodnodig. Vroeger stuurden bedrijven hun werknemers naar zelf georganiseerde vakscholen. Dat heeft het onderwijs overgenomen. Als je dan de samenwerking wilt versterken, lukt dat niet zolang bedrijven en scholen op eilandjes blijven werken.” Ook voor Siemens zelf had dit project een leercurve. “We hebben veel kennis in huis die we graag willen delen. Maar hoe maak je die kennisoverdracht repeteerbaar en toetsbaar, zodat het een echt lesprogramma wordt waar studenten daadwerkelijk wat van opsteken? Daarin hebben wij veel gehad aan de input van de docenten.”

Hún project
Aan het eind van de twee weken stond er geen perfect beveiligde brug in het living lab. Dat was ook nooit het doel van het project. Wél stond er een groep studenten die had ontdekt dat digitale veiligheid geen vak is dat je uit een boek leert, maar een vaardigheid die je jezelf eigen maakt door dingen kapot te maken, te documenteren, te verdedigen en opnieuw te proberen. Voor Christian, Max, Chakir en zijn medestudenten was dat tot op de laatste dag relevant. Niet omdat het móest, maar omdat de brug hún project was geworden.