La veille du sommet européen du 22 mars 2011, la Commission européenne et le Service européen pour l'action extérieure (SEAE) ont été touchés pour une cyberattaque, jugée particulièrement grave car elle visait spécialement des directions générales et des fonctionnaires de la Commission européenne.

Dès 2009, la Direction de la Sécurité de la Commission avait établi un plan d'action contre les cyberattaques. Les États membre y étaient priés de créer à l'horizon 2012 un Computer Emergency Response Team capable de détecter les logiciels malveillants. En Belgique, le Computer Emergency Response Team (CERT) est actif depuis 2010 et on s'affaire actuellement à le rendre progressivement opérationnel.

Depuis 2009, BelNET organise l'accès internet des services publics et de plus de 200 institutions d'enseignement et gère l'infrastructure centrale de circulation internet, le Belgian National Internet Exchange (BNIX). BelNet est aussi chargé de l'appui immédiat du CERT, qui dirige la cyberprotection des services publics comme des particuliers.

Le CERT remplit sa mission en collaboration et en synergie avec d'autres instances, telles l'IBPT, les Computer Crime Units, le Service public fédéral (SPF) Justice et la Défense. Selon une concertation antérieure, la collaboration entre ces acteurs devait cependant encore être formalisée. Un groupe de travail pour la gestion des incidents serait en train d'élaborer une proposition réglant la coopération entre les divers intervenants fédéraux.

Le Comité R a publié le 24 août 2011 un rapport sévère à l'égard de la politique fédérale en matière de protection informatique. Il affirme que l'absence d'action fédérale globale en ce domaine rend notre pays particulièrement vulnérable aux attaques contre ses systèmes et ses réseaux d'information vitaux.

Aujourd'hui, plusieurs instances fédérales se préoccupent de sécuriser les systèmes informatiques : l’Autorité nationale de sécurité (ANS), le Service public fédéral Technologie de l'information et de la communication (Fedict), le fournisseur d'internet fédéral BelNET et l’Institut belge des services postaux et des télécommunications (IBPT). Toutefois, selon le rapport, aucune d'entre elles ne dispose d'un panorama complet de l'infrastructure critique des systèmes informatiques.

Le Comité R s'inquiète aussi de la gestion du personnel des services de renseignement et de l'insuffisance des moyens qui permettraient d'engager du personnel qualifié.

Enfin, le Comité R observe que la législation belge ne permet de neutraliser des systèmes hostiles étrangers qu'en cas de cyberattaque sur les systèmes de la Défense. Si les attaques visent d'autres SPF ou d'autres infrastructures critiques nationales, on ne peut réagir qu'a posteriori et défensivement, sans pouvoir neutraliser l'assaillant.

Voici mes questions à la ministre :

1) Depuis sa création, combien d'incidents cybercriminels le CERT a-t-il signalés à son département ?

- Je souhaite une ventilation des incidents selon les catégories normaux - sérieux -majeurs, avec quelques exemples pour chacune.

- Combien d'incidents examine-t-on actuellement ?

- Pour combien d'entre eux l'enquête est-elle clôturée et le dossier a-t-il été transmis à la Justice ?

- Pour combien a-t-il fallu une enquête interdépartementale ?

- Pour combien d'entre eux l'enquête ne peut-elle pas se poursuivre ? Combien d'incidents a-t-on classés en raison d'une mauvaise transmission de l'information ?

2) Comment se déroule la coopération avec les SPF auxquels BelNET fournit l'accès à internet ?

3) Comment se déroule la collaboration avec le SPF Justice, lequel coordonne le projet de cyberdéfense ? La ministre trouve-t-elle logique que le SPF Justice le dirige ? Prend-on assez d'initiatives et se concerte-t-on suffisamment ?Respecte-t-on encore les délais prévus ?

- Quel rôle joue le SPP Politique Scientifique en cette matière ?

- À quelle fréquence annuelle les représentants de la Politique Scientifique se réunissent avec ceux du SPF Justice pour parler de cyberdéfense ? L'administration est-elle suffisamment consultée par le SPF Justice ?

4) Comment se passe la collaboration en matière de cyberdéfense avec l'Intérieur, Fedict, l'Économie, la Défense et les Affaires étrangères ? L'a-t-on formalisée pour que le CERT et le SPF Justice puissent réagir en temps utile à un incident ?

5) Quels sont les secteurs prioritaires du projet de cyberdéfense et quels acteurs s'occupent-ils de quels secteurs ?

6) Que peut faire le gouvernement pour réduire la vulnérabilité de notre pays ? Met-on en œuvre une stratégie coordonnée de cyberdéfense ?

7) Le Comité R s'inquiète de la gestion du personnel des services de renseignement et de l'insuffisance des moyens qui permettraient d'engager du personnel qualifié. Le département de la ministre est-il confronté au même problème ?

8) Le département partage-t-il le souci d'augmenter les possibilités de neutraliser les cyberattaques, au lieu de ne pouvoir réagir qu'a posteriori et défensivement ?

9) Selon les normes de l'Union européenne, les SPF et les services du parlement fédéral sont-ils adéquatement protégés contre les cyberattaques ? Quelles normes de sécurité observe-t-on et pourquoi ?

10) Existe-t-il un « Disaster Recovery Plan » en guise de position de repli si les systèmes critiques de notre pays étaient victimes d'une cyberattaque ?

11) Le département de la ministre a-t-il déjà désigné un conseiller à la coordination de la sécurité informatique ? Quelle est sa mission et à qui rapporte-t-il ?

12) Combien de fois des documents du SPP Politique scientifique ont-ils été volés à la suite d'une cyberattaque ? Quand cela s'est-il produit, de quels documents s 'agissait-il et quel était leur niveau de sensibilité ? Quelles mesures a-t-on prises ?

13) Quelles infrastructures, identifiées par le SPP Politique scientifique comme critiques et sensibles, sont-elles privilégiées en matière de cyberdéfense ?

L'honorable membre voudra bien trouver ci-joint la réponse à sa question.

1. A ce jour, le Computer Emergency Response Team (CERT) a signalé quatre messages d'incidents à la Politique scientifique fédérale (BELSPO) :

• [BELNET TT #5227] Possible spam relay at 193.191.206.123

• [BELNET TT #7386] Unsolicited email report for Your Customer - 193.191.206.123

• [BELNET TT #17672][TLP:AMBER]BELSPO - Account compromised on www.belspo.be/stat/wallonie/rd2010/

• [BELNET TT #17718] IT Security incident Frascati: password disclosure - TLP WHITE

Les deux premiers messages concernaient une adresse IP du Conseil d'État qui partageait notre connexion FEDMAN, rue de la Science avant notre déménagement.

Pour le troisième message, un mot de passe de connexion à un de nos sites avait été décelé dans le log d'un serveur collectionnant des informations à partir de postes infectés.

En ce qui concerne le quatrième message, BELSPO a été prévenu, étant donné ses contacts fréquents et ses connexions en ligne avec l'ESA, du fait que certains de leurs serveurs avaient été piratés et que des informations de connexion avaient été divulguées.

Aucun de ces incidents n'aurait fait l'objet d'une enquête. Aucun dossier n'aurait été transmis à la Justice.

2. Avec des réponses rapides et précises aux messages reçus, on peut parler d'une bonne coopération entre les Service public fédéral (SPF) et Belnet qui fournit à leurs demandes des réponses rapides et précises.

3. 4. et 5. Belspo n'a jamais été consulté sur le projet de cyber-défense et ne peut donc se prononcer ni sur la manière dont se déroule la collaboration entre la Justice et les autres SPF ni sur le choix des secteurs prioritaires déterminés en cette matière.

6. Belspo plaide pour une stratégie centralisée et unique, menée au niveau fédéral et coordonnée par le Service public fédéral Technologie de l'information et de la communication (FEDICT) avec l'aide des experts du CERT.

7. Le faible effectif informatique chez BELSPO ne dispose que de trop peu de temps pour traiter des problèmes de sécurité informatique en détail.

8. Il est évident que tous les SPF et SPP, et pas seulement la Défense, devraient pouvoir réagir activement contre des sites étrangers lorsque la sécurité de leurs informations est mise en péril.

9. Aucune norme n'est actuellement imposée.

10. Des plans sont prévus pour centraliser de plus en plus, dans des datacenters, les serveurs d'application critiques du Fédéral.

11. Un conseiller en sécurité de l'information a été nommé récemment dans le cadre de la protection des données pour FEDCOM. Chargé d'analyser la sécurité des procédures d'accès à l'information du Département, il assiste aux réunions organisées avec les conseillers des autres départements.

12. BELSPO n'a pas connaissance qu'à la suite d'une cyber-attaque, un document lui aurait été volé.

13. Les informations manipulées par BELSPO ne sont que rarement confidentielles et ne concernent presque jamais les données personnelles des citoyens ou des entreprises via des applications en ligne. Néanmoins, pour le partage d'informations avec l'extérieur, les serveurs bureautiques internes et les serveurs web de BELSPO peuvent être considérés comme critiques car ils régissent entièrement le travail des membres du Département.