Tweetalige printerversie Eentalige printerversie

Schriftelijke vraag nr. 5-10020

van Nele Lijnen (Open Vld) d.d. 4 oktober 2013

aan de minister van Middenstand, KMO's, Zelfstandigen en Landbouw

Cybercrime - Mobiele toestellen - Beveiliging - Overzicht

computercriminaliteit
mobiele telefoon
gegevensbescherming
computervirus
mobiele communicatie

Chronologie

4/10/2013Verzending vraag
28/11/2013Antwoord

Ook gesteld aan : schriftelijke vraag 5-10013
Ook gesteld aan : schriftelijke vraag 5-10014
Ook gesteld aan : schriftelijke vraag 5-10015
Ook gesteld aan : schriftelijke vraag 5-10016
Ook gesteld aan : schriftelijke vraag 5-10017
Ook gesteld aan : schriftelijke vraag 5-10018
Ook gesteld aan : schriftelijke vraag 5-10019
Ook gesteld aan : schriftelijke vraag 5-10021
Ook gesteld aan : schriftelijke vraag 5-10022
Ook gesteld aan : schriftelijke vraag 5-10023
Ook gesteld aan : schriftelijke vraag 5-10024
Ook gesteld aan : schriftelijke vraag 5-10025
Ook gesteld aan : schriftelijke vraag 5-10026
Ook gesteld aan : schriftelijke vraag 5-10027
Ook gesteld aan : schriftelijke vraag 5-10028
Ook gesteld aan : schriftelijke vraag 5-10029
Ook gesteld aan : schriftelijke vraag 5-10030
Ook gesteld aan : schriftelijke vraag 5-10031

Vraag nr. 5-10020 d.d. 4 oktober 2013 : (Vraag gesteld in het Nederlands)

De jongste jaren is cybercrime aan een ware opmars bezig over de hele wereld. Daar waar voorheen vooral computers het primaire slachtoffer van deze criminelen waren, merken verschillende experts op dat cybercriminelen hun activiteit ook naar de mobiele toestellen (gsm , tablet, …) verplaatsen. Uit het zogenaamde Norton Report 2013, een toonaangevend rapport inzake cyberbeveiliging, blijkt dat zo'n 48 % van de smartphone- en tabletgebruikers geen maatregelen neemt om hun mobiele toestellen te beveiligen. Dit valt toch aan te raden, omdat hackers mogelijk hierdoor toegang hebben tot allerlei persoonlijke en professionele data.

Graag had ik volgende vragen gesteld:

1) Zijn er de jongste drie jaar reeds vaststellingen gedaan met betrekking tot besmette smartphones of tablets door een virus/malware/spyware/enz.? Kunt u deze cijfers meedelen?

2) Hebt u een beeld van het aantal personeelsleden die via hun smartphone of tablet toegang hebben tot professionele data (bijvoorbeeld via cloud computing)? Kunt u deze cijfers meedelen?

3) Indien neen op de vorige vraag: acht u het nodig om het gebruik van smartphones en tablets door uw personeel beter in kaart te brengen, aangezien hun toestellen mogelijk een toegangspoort voor cybercriminelen kunnen zijn naar professionele gegevens? Kunt u toelichten waarom wel of niet?

4) Wordt er toegezien op de koppeling van tablets of smartphones met de informatica van op het werk? Waarom wel of niet?

5) Indien uw diensten informatie krijgen over het beveiligen van de informatica en de gevaren hieromtrent, is er dan ook aandacht voor de beveiliging van mobiele apparaten, zoals tablets of smartphones? Indien ja, op welke manier? Indien neen, acht u dit nodig?

6) Hebt u cijfers over het aantal personeelsleden die een smartphone of tablet gekregen hebben van hun werkgever, en kunt u deze cijfers meedelen?

7) Zijn uw informatici voldoende op de hoogte van deze trend? Indien neen, is dit volgens u noodzakelijk? Indien ja, op welke manier spelen zij hierop in?

Antwoord ontvangen op 28 november 2013 :

Wat het Federaal Agentschap voor de Veiligheid van de Voedselketen (FAVV) betreft:

1. Er is geen enkel geval bekend bij het FAVV.

2. In het FAVV zijn een 40-tal personeelsleden uitgerust met een tablet of smartphone van het FAVV en die hiermee rechtstreeks aan hun professionele data kunnen. Doch via “webmail” en met zijn gebruikersnaam en paswoord kan ieder personeelslid aan zijn professionele data geraken van op een computer, smartphone of tablet verbonden met internet.

Een personeelslid zou professionele data kunnen verspreiden via een bijlage aan een e-mail of via Dropbox in de cloud. Daarom heeft het FAVV een gedragscode die jaarlijks bijgewerkt wordt en waaraan ieder personeelslid zich moet houden.

3. Zie vraag 2.

4. Voorlopig zijn enkel de tablets en de smartphones van het FAVV toegelaten. Andere toestellen kunnen en mogen niet rechtstreeks aangesloten worden op het netwerk om te vermijden dat de netwerken en toestellen van het FAVV besmet zouden geraken met virussen of andere malware en om te vermijden dat professionele data te gemakkelijk op onbeveiligde toestellen terecht zouden komen. Er bestaan natuurlijk andere technische middelen om toch professionele data op een laptop die niet van het FAVV is, te krijgen, vandaar het belang van de gedragscode.

5. Het FAVV blijft waakzaam op alle gebieden m.b.t. de veiligheid. Desgevallend zijn de tablets en smartphones uitgerust met beveiligingssoftware zoals dit het geval is voor alle computers die op het netwerk aangesloten zijn. Daarnaast integreert het FAVV nieuwe tegenmaatregelen of dreigingen in zijn gedragscode.

6. Een 40-tal personeelsleden van het FAVV zijn uitgerust met een tablet of een smartphone van het Agentschap.

7. Ja, de informatici van het FAVV houden zich op de hoogte via onder andere opleidingen, technische tijdschriften en informatie van de leveranciers. In het FAVV wordt momenteel eveneens nagedacht over hoe en welke toegangen in de toekomst zouden kunnen worden gegeven voor privé tablets of smartphones van personeelsleden en dit zonder de beveiliging in gevaar te brengen en zonder inbreuk op de bestaande regelgeving.

De specialisten van het FAVV werken ook aan meer geavanceerde technische middelen om een betere controle te krijgen over elk toestel dat probeert zich te verbinden met de netwerken van het FAVV.

Wat het Belgisch interventie en restitutie bureau (BIRB) betreft:

1. Tot nu toe heeft het BIRB geen probleem met smartphones of tablets vastgesteld die door een virus, spyware of malware waren geïnfecteerd.

2. Er zijn verschillende manieren om toegang te krijgen tot professionele gegevens.

Eerst via de ‘webmail’ in https. In dit geval moet de gebruiker enkel over een internetverbinding en internetbrowser beschikken om toegang te krijgen tot zijn professionele e-mailaccount (er moet een ‘active directory’ account worden gelinkt met deze e-mail).

Een tweede manier om toegang te krijgen tot professionele gegevens is het gebruik van de VPN client. Om deze toegang te gebruiken moet het personeelslid over een specifieke authorisatie beschikken. Hij moet over een internetverbinding beschikken en de VPN cliënt moet op zijn toestel (smartphone, tablet, pc) worden geïnstalleerd.

De derde manier bestaat erin zich in te loggen via een e-mailaccount van het type “ActiveSync” om zo de mailgegevens te kunnen synchroniseren. Daarvoor zijn een geldige “active directory” account en een mailbox nodig en moet de gebruiker deel uitmaken van een specifieke groep die toegang heeft tot deze mailsynchronisatie.

De toegang via “webmail” is beschikbaar voor alle personeelsleden die toegang hebben tot een mailbox van het BIRB.

De toegang via VPN betreft 69 personen; het gaat vooral om de telewerkers.

Het gebruik van de mailsynchronisatie betreft 16 personen (management).

3. Het BIRB zou idealiter een betere controle willen hebben op de verbindingen op afstand, o.a. de antivirus en security update van het mobiele systeem dat voor de verbinding wordt gebruikt, kunnen verifiëren. Het zou ook interessant zijn om wat op het mobiele toestel is geïnstalleerd, te kunnen controleren en ongewenste toepassingen te kunnen verwijderen voordat de verbinding wordt toegestaan.

4. Het BIRB heeft geen controle op de smartphones of tablets die met onze systeem proberen te verbinden. De firewall van het BIRB biedt de mogelijkheid om enkel toegang te verlenen tot een beperkt aantal toestellen (via de ‘Mac address’) of om alle toestellen toegang te verlenen voor zover de authentificatie van de ‘active directory’ account geslaagd is. De eerste optie, nl. de toegang beperken, werd als te omslachtig beschouwd.

5. Het BIRB heeft veiligheidsregels voor mobiele toestellen en dragers bepaald. Deze regels werden medegedeeld aan de eigenaars van Ipads en Iphones die door het BIRB ter beschikking worden gesteld. Voor al deze mobiele toestellen werd een verplichte driemaandelijkse veiligheidscontrole ingevoerd.

6. Het BIRB heeft momenteel 13 Iphones in functie.

Het BIRB heeft momenteel 9 Ipads in functie.

7. De informatici van het BIRB zijn zich goed bewust van de technologische vooruitgang op dit vlak. Ze blijven op de hoogte van deze evoluties. De Iphones en Ipads worden binnen de ICT-dienst van het BIRB getest. Een opleiding voor de informatici en de gewone gebruikers over deze nieuwe technologieën is voorzien in de komende weken.

Wat het Centrum voor onderzoek in diergeneeskunde en agrochemie (CODA) betreft:

1. Neen

2. Het CODA gebruikt de smartphones enkel voor het lezen van mails die worden « doorgestuurd » (PUSH) naar het mobiel apparaat (Black Berry). Momenteel zijn er geen tablets en is er geen netwerktoegang voor de mobiele apparatuur.

3. /

4. Tot op vandaag werd hiervoor niets voorzien door de Directieraad. Indien dit wel het geval was, dan zou het CODA alle apparatuur uitrusten met een antivirus en zou het de structuur/opbouw van zijn netwerk herzien (bijvoorbeeld gebruik van LAN gescheiden van het hoofdnetwerk)

5. Het CODA heeft tot op heden geen antivirus bescherming voor de smartphones maar het gaat deze installeren gezien de gebruikers deze steeds meer en meer gebruiken om te surfen op het internet, om te downloaden… Het risico bevindt zich vandaag echter enkel en alleen op het niveau van het apparaat zelf, gezien deze apparatuur niet geïntegreerd zijn binnen het LAN van het CODA.

6. Ja. 9 BlackBerry's.

7. Het CODA heeft twee “Netwerkbeheerders” in dienst die in staat zijn om de nodige installaties uit te voeren op het niveau van mobiele apparatuur en eveneens, indien nodig, voor het doorvoeren van wijzigingen op het niveau van het netwerk (aansluiting van deze apparatuur en tablets op het lokaal netwerk van het CODA).

Wat de Federale Overheidsdienst (FOD) Economie betreft:

Ik verwijs u naar het antwoord gegeven door mijn collega, de vice-eerste minister en minister van Economie, Consumenten en Noordzee, de heer Johan Vande Lanotte.

Wat het Rijksinstituut voor de sociale verzekeringen der zelfstandige RSVZ) betreft:

1. Er is het RSVZ geen enkel geval van besmetting bekend.

2. Een 100-tal personeelsleden beschikt over een smartphone of tablet welke ter beschikking gesteld wordt door het RSVZ. Een rechtstreekse toegang tot professionele data is hiermee niet mogelijk.

Alle personeelsleden van het RSVZ kunnen evenwel onrechtstreeks gebruik maken van de RSVZ toepassingen en gegevens d.m.v. een volledig afgeschermde en geïsoleerde Citrix omgeving. Hierbij wordt de beveiligde Citrix client gebruikt welke beschikbaar is voor diverse platformen zoals Windows, Linux, Apple Mac, iOS, Android, Windows Phone, …

3. Vermits er d.m.v. tablets en smartphones geen rechtstreekse toegang voorzien is tot professionele data, zijn er geen bijkomende veiligheidsmaatregelen nodig. (Zie vorige vraag)

4. Er is geen rechtstreekse koppeling mogelijk, er is enkel een onrechtstreekse toegang voorzien via Citrix. (Zie vraag 2)

5. De beveiliging van mobiele apparaten verdient een bijzondere aandacht en het RSVZ streeft ernaar om de risico's zoveel mogelijk te beperken. Om deze reden werd er trouwens gekozen voor een onrechtstreekse, beveiligde toegang d.m.v. Citrix.(Zie vraag 2)

6. 45 Ipads.

98 smartphones.

7. De informatici en de veiligheidsconsulente van het RSVZ volgen alle beveiligingstrends nauwgezet op, in nauwe samenwerking met de KSZ. Waar nodig worden de gepaste maatregelen genomen.

Wat de DG Zelfstandigen - FOD Sociale Zekerheid betreft:

Aangezien ik enkel inhoudelijk bevoegd ben voor de DG Zelfstandigen van de FOD Sociale Zekerheid, beschik ik niet over de gevraagde gegevens. Voor alle andere onderwerpen (personeel, logistiek, …) met betrekking tot de FOD Sociale Zekerheid, en dus ook tot de DG Zelfstandigen, is het de Vice-eerste minister en minister van Sociale Zaken en Volksgezondheid, mevrouw Onkelinx, die bevoegd is.