|
|
Belgische websites - Hacking - Werking van CERT.be - Digitale beveiliging van overheisdssites
internetsite
gegevensbescherming
computerpiraterij
computercriminaliteit
| 29/3/2011 | Verzending vraag |
| 18/5/2011 | Antwoord |
L-Sec (Leaders in Securtity) is een social profit-organisatie die ijvert voor de digitale beveiliging in België. In hun jaarverslag bericht over heel wat incidenten en problemen die zich in dit verband manifesteerden in 2010. Daaruit blijkt hoe actief hackers zijn maar eveneens dat CERT.be, de openbare instelling die zich sinds vorig jaar bekommert over internetdreigingen, erg slagkrachtig optreedt. Blijkbaar stelde CERT.be in 2010 een totaal van 2 135 incidenten vast, waarvan 976 ernstige. Daarbij ging het vooral over poging tot diefstal van accounts en het infecteren van netwerken. De slagkracht van CERT.be blijkt onder andere uit de ranking van België op de " onveiligheidslijst " van de Amerikaanse specialist Arbor Networks. Er is een evolutie van een bedenkelijke vierde naar een plaats tussen dertigste en veertigste positie, een drastische verbetering dus.
In deze problematiek speelt het " hacken " een cruciale rol. Blijkbaar steeg het aantal " gehackte " webstek in 2010 tot 16 134, en blijft dit aantal nog beperkt tot vrijwillige meldingen van hackers. Voor hen blijkt dit een erezaak. Vooral Linuxservers kunnen het " hacken " moeilijk weerstaan.
Graag kreeg ik een antwoord op de volgende vragen:
1) Beaamt de geachte minister deze aantallen en vaststellingen? Beoordeelt hij de werking van CERT.be als voldoende accuraat en efficiënt? Beschikt deze speler over voldoende middelen om zijn opdracht naar verwachting te vervullen?
2) Waar ligt momenteel de belangrijkste uitdaging met betrekking tot de digitale beveiliging? Hoe wordt deze aangepakt en met welke prognoses werkt hij?
3) Hoeveel pogingen tot hacken en geslaagde hackings van overheidssites of websteks registreerde men in 2009 en 2010?
4) Zijn er overheidsinstellingen / voorzieningen die werken met een Linuxserver? Zo ja, zijn deze servers voldoende beveiligd?
1.
De statistieken over Cert.be stemmen inderdaad overeen met de incidenten die in 2010 aan Cert.be werden gecommuniceerd. Cert kan de andere informatie die door de auteurs zelf werd gecommuniceerd bevestigen noch ontkrachten.
Het Cert behandelt de gerapporteerde incidenten op efficiënte wijze, rekening houdend met het personeel dat aan deze missie werd toegewezen. Bij de oprichting werden aan het Cert een aantal missies toegewezen en moest het zijn nut in de Belgische ICT-context bewijzen. In het raam van de uitvoering van de activiteiten die gewoonlijk aan een CSIRT (Computer Security Incident Respons Team) worden toevertrouwd, werd een ontwikkelingsplan voor Cert.be opgesteld. Momenteel zijn vijf medewerkers direct toegewezen aan de behandeling van incidenten door Cert.be. Het capaciteitsplan van Cert.be voorziet tegen midden 2012 tien medewerkers om incidenten te behandelen. Gezien het aantal medewerkers dat de buurlanden inschakelen en rekening houdend met de evolutie van de activiteiten van Cert.be, moet dat aantal mogelijk worden verhoogd. De capaciteitsbehoeften worden gevolgd door de verantwoordelijken van Cert.be, die de nodige aanbevelingen ter zake zullen verstrekken om een efficiënte service te kunnen blijven aanbieden.
2.
Wat de voornaamste uitdaging op het vlak van veiligheid betreft, heeft de werkgroep Belnis in 2007 een White paper opgesteld met een aantal voorstellen om de manier waarop ICT-systemen in België worden beveiligd te verbeteren.
Als we ons beperken tot de reactie op incidenten, zijn de volgende punten essentieel om op termijn de efficiëntie van onze responscapaciteit te waarborgen:
- een wettelijk kader bepalen voor Cert.be dat het zijn opdrachten toekent. Momenteel is Cert.be aangesteld op basis van artikel 113 en volgende van de wet betreffende de elektronische communicatie van 13 juni 2005;
- Cert.be vervult zijn opdracht in samenwerking en overleg met andere instanties, zoals het BIPT, de Computer Crime Units, het federaal parket, het college van procureurs, de Cert Defensie enz. Deze samenwerking moet worden geformaliseerd en de verschillende verantwoordelijkheden en verplichtingen worden toegewezen. Momenteel werkt een werkgroep voor incidentenbeheer een voorstel uit in samenwerking met de verschillende interveniënten die betrokken zijn bij deze problematiek. De diverse aanbevelingen van deze werkgroep zullen moeten worden omgezet in reglementen en operationeel geïntegreerd.
3.
Momenteel is er in België geen enkele verplichting tot incidentrapportering gedefinieerd, noch voor de administratie, noch voor de privésector. De incidentrapporten worden op vrijwillige basis aan Cert.be doorgegeven. Wij beschikken bijgevolg niet over volledige informatie om op betrouwbare wijze aan deze vraag te kunnen beantwoorden.
4.
Bepaalde instellingen gebruiken inderdaad Linux-servers. Het platform Linux loopt intrinsiek niet meer risico’s dan andere platformtypes en is bovendien wijd verbreid. Bij de implementatie van de verschillende oplossingen die op de markt bestaan, worden de goede praktijken meestal geïmplementeerd door de ICT-verantwoordelijken voor deze materie. 100 % veiligheid bestaat niet in informatica en Cert.be publiceert dan ook regelmatig adviezen en aanbevelingen over ernstige gebreken van bepaalde software.