Seiberddiogelwch mewn ysgolion: cwestiynau ar gyfer cyrff llywodraethu a phwyllgorau rheoli

Mae’r 8 cwestiwn canlynol i gyrff llywodraethu a pwyllgorau rheoli wedi’u llunio gan y Ganolfan Seiberddiogelwch Genedlaethol (NCSC) drwy gydweithio â Llywodraeth Cymru, er mwyn helpu i wella dealltwriaeth ysgol o’i risgiau seiberddiogelwch mewn ffordd gymesur.

Beth yw seiberddiogelwch a pham ei fod yn bwysig i ysgolion?

Mae ysgolion yn ddibynnol iawn ar TG a gwasanaethau ar-lein i weithredu. Maen nhw’n cadw llawer iawn o ddata personol sensitif ar ddysgwyr, rhieni, gofalwyr ac ymarferwyr addysg hefyd. Mae angen cadw’r holl wybodaeth hon yn saff ac yn ddiogel.

Prif ddiben seiberddiogelwch yw sicrhau bod y dyfeisiau rydym yn eu defnyddio, a’r gwasanaethau rydym yn cael mynediad iddynt wedi’u diogelu rhag y risgiau a wynebir gan ddigwyddiad seiberddiogelwch a allai arwain at ladrad neu ddifrod. Mae’n ymwneud hefyd ag atal mynediad heb ei awdurdodi i’r data personol sylweddol rydym yn ei storio ar y dyfeisiau, y gweinyddion a’r cyfrifon ar-lein hyn.

Gall digwyddiad seiberddiogelwch effeithio ar allu’r ysgol i weithredu, diogelwch ei data a’i henw da. Bydd arweinwyr yr ysgol a’r corff llywodraethu am sicrhau eu bod yn ymwybodol o risgiau seiber a’u bod wedi paratoi’n ddigonol pe bai yna ddigwyddiad seiber. Bydd ysgolion yn dilyn dulliau tebyg eisoes mewn perthynas â rheoli risgiau a chyfrifoldebau’n ymwneud â GDPR a diogelu dysgwyr yn fwy cyffredinol.

Rolau a chyfrifoldebau

Mae rôl pwyllgorau rheoli cyrff llywodraethu yn un strategol a dylai ganolbwyntio ar sicrhau bod gan ysgolion bolisïau a gweithdrefnau TG ar waith sy’n cynnwys y defnydd o systemau TGCh a diogelwch data, yn cynnwys cydymffurfio â’r Rheoliad Cyffredinol ar Ddiogelu Data (GDPR) (Saesneg yn unig).

Mae’r 8 cwestiwn canlynol wedi’u llunio gan y Ganolfan Seiberddiogelwch Genedlaethol (NCSC) drwy gydweithio â Llywodraeth Cymru, er mwyn helpu i wella dealltwriaeth ysgol o’i risgiau seiberddiogelwch mewn ffordd gymesur. Ni ddylid defnyddio’r cwestiynau hyn fel rhyw fath o restr wirio. Maen nhw wedi’u hysgrifennu er mwyn cychwyn y sgwrs ar seiberddiogelwch rhwng y corff llywodraethu ac arweinwyr ysgol, gyda’r corff llywodraethu yn arwain y ffordd.

Dylai arweinwyr ysgol sicrhau bod yna reolau a pholisïau priodol ar waith (fel Polisïau Defnydd Derbyniol, Polisïau Trin Data; ac ati) er mwyn llywio a llywodraethu ymarfer. Yn ogystal, dylai arweinwyr ysgol fod yn hyderus bod eu partner cymorth TG yn rhoi mesurau priodol ar waith ar gyfer y rhwydwaith a diogelu data er mwyn diogelu eu hysgolion rhag bygythiadau allanol a mewnol. Mae rhagor o ganllawiau ar ddiogelwch rhwydweithiau a data ar gyfer ysgolion yng Nghymru ar gael ar Hwb.

Nodir y cwestiynau ar draws tair thema: i gael gwybodaeth, i godi ymwybyddiaeth ac i wella parodrwydd ar gyfer digwyddiad posibl.

Cwestiynau ffeithiol ar gyfer y corff llywodraethu er mwyn sicrhau bod gan yr ysgol ddealltwriaeth dda o’i gwasanaethau TG:

A oes gan yr ysgol restr o sefydliadau gwahanol sy’n darparu ei gwasanaethau TG?

Er mwyn sicrhau y gall ysgol gadw ei data a’i systemau’n ddiogel, dylai wybod pwy yw ei phrif bartneriaid cymorth TG. Gallai’r rhestr hon gynnwys y rhai sy’n darparu cysylltiad rhyngrwyd yr ysgol neu sy’n cynnal gwefan yr ysgol. Gall gynnwys contractau cymorth TG hefyd gan Awdurdod Lleol neu Ddarparwyr Gwasanaethau a Reolir. Os yw ysgolion yng Nghymru ar rwydwaith Cydgasglu Band Eang y Sector Cyhoeddus mae rhagor o wybodaeth ar gael ar Hwb.

A yw arweinydd yr ysgol yn gwybod pwy sy’n rheoli neu’n cydgysylltu materion TG yr ysgol?

Gan ddibynnu ar yr ysgol, gall fod yn aelod o’r staff addysgu, neu’n Bartner Cymorth TG ar wahân fel ei hawdurdod lleol. Mae’n bwysig bod arweinwyr ysgol yn gwybod pwy/beth ydyw, a bod yr unigolyn/tîm/cwmni yn dilyn arferion seiberddiogelwch allweddol fel yr amlinellir yn y canllawiau Safonau Digidol Addysg ar Ddiogelwch rhwydweithiau a data ar Hwb a chanllawiau NCSC 10 Steps to Cyber Security (Saesneg yn unig).

A yw’r ysgol wedi nodi’r rhannau mwyaf hanfodol o wasanaethau digidol a thechnoleg yr ysgol ac wedi gofyn am sicrwydd ynghylch eu diogelwch?

Mae rhai gwasanaethau TG yn hanfodol i gynnal yr ysgol o ddydd i ddydd - dyma’r rhai a fydd angen eu diogelu fwyaf. Bydd angen eu hystyried fel y “perlau go iawn”. Er enghraifft, bydd System Gwybodaeth Reoli (MIS) yr ysgol yn cynnwys cofnodion meddygol y dysgwyr, gwybodaeth ddiogelu a gwybodaeth gyswllt rhieni a gofalwyr. Heb fynediad at yr wybodaeth hon, (neu gopi caled wrth gefn), byddai ysgolion yn ei chael hi’n anodd parhau’n weithredol pe bai eu systemau TG yn methu mewn unrhyw ffordd. Gellid rheoli gwasanaethau TG eich ysgol yn fewnol, mewn cydweithrediad â Phartner Cymorth TG neu gymysgedd o’r ddau.

A oes gan yr ysgol gynllun wrth gefn ac adfer priodol ar waith?

Os yw ysgol yn colli mynediad i’w data hanfodol, gellir lleddfu rhywfaint ar yr effeithiau drwy gael cynllun wrth gefn ac adfer priodol ar waith. Gall cael cynlluniau wrth gefn ar gyfer data pwysig fod o gymorth pan fo yna ddigwyddiadau seiber ond hefyd mewn sefyllfaoedd trychinebus eraill fel tân, llifogydd, difrod ffisegol neu pan fo dyfeisiau’n cael eu dwyn.

Am ragor o wybodaeth am reoli gwasanaethau digidol a thechnoleg ysgolion gweler ein Safonau Rheoli Dyfeisiau fel rhan o Safonau Digidol Addysg.

Y graddau y mae defnyddiwr a’r corff llywodraethu’n deall pwysigrwydd seiberddiogelwch a’u rôl ynddo:

A yw polisïau llywodraethu a TG yr ysgol yn adlewyrchu pwysigrwydd seiberddiogelwch da?

A yw’r ysgol yn hyfforddi staff ar y bygythiadau a’r digwyddiadau cyffredin yn ymwneud â seiberddiogelwch y mae ysgolion yn eu hwynebu?

Mae seiberddiogelwch da yn ddibynnol ar bobl. Gall ymarferwyr addysg dynnu sylw ysgolion at broblemau posibl fel canfod negeseuon e-bost neu alwadau ffôn gwe-rwydo, neu sylwi pan fo gwasanaeth yn rhedeg yn arbennig o araf, a allai fod yn arwydd o ymosodiad seiber.

Mae'r modiwl hyfforddi seiberddiogelwch hwn a gynhyrchwyd gan y National Cyber Security Centre (NCSC) wedi'i gynllunio i gefnogi staff ysgolion i helpu i wella gwytnwch seibr eu hysgol.

Mae gwe-rwydo’n fath cyffredin o ymosodiad seiber, bydd y modiwl hyfforddi hwn yn helpu ymarferwyr addysg i ddeall gwe-rwydo a sut i amddiffyn eu hunain a’u hysgol.

Mae yna adnoddau hyfforddi eraill fel Canllawiau a chynghorion ymarferol yr NSCS y gellir ei lawrlwytho o wefan Hwb.

Mae bod yn barod ar gyfer effaith bosibl digwyddiad seiberddiogelwch yn hanfodol er mwyn helpu ysgolion i sicrhau cyn lleied o darfu â phosibl pe bai rhywbeth yn digwydd:

Pe bai’r ysgol yn colli mynediad dros dro i’w data a/neu ei chysylltiad rhyngrwyd, a fyddai’r ysgol yn gallu parhau i weithredu?

Gall pob mathau o ysgolion wynebu digwyddiad seiber. Gallai digwyddiad seiber olygu nad yw rhwydwaith yr ysgol ar gael am gyfnod anhysbys, gyda mynediad cyfyngedig at ddata a gwasanaethau pwysig neu ddim mynediad o gwbl. Cyfeiriwyd at bwysigrwydd mynediad i MIS yn gynharach yn thema A, ond mae yna wasanaethau eraill fel: ffonau, systemau rheoli mynediad, systemau talu di-arian. Bydd y rhain yn effeithio ar weithrediad yr ysgol os nad ydynt ar gael.

A yw’r ysgol yn gwybod â phwy y dylid cysylltu os yw’n dioddef digwyddiad seiberddiogelwch?

Dylai cynllun parhad busnes yr ysgol restru ei brif bartneriaid cymorth TG, yn ogystal â’r rhai a allai fod yn gyfrifol am waith rheoli TG yn yr ysgol. Mae’n bwysig iawn bod gwybodaeth gyswllt gyfredol ar gael ochr yn ochr â’r rhestr hon.