De nos jours, l'usage des ordinateurs et d'internet est devenue la norme. L'administration vit avec son temps et emploie divers logiciels pour le traitement et l'échange de données. Il s'agit souvent d'informations confidentielles. Cette évolution vers une administration davantage numérisée représente une menace, car des lacunes dans la sécurité peuvent avoir pour effet de faire aboutir des informations dans de mauvaises mains.

Par exemple, les services de renseignement militaire et la Sûreté de l'État s'inquiètent de la sécurisation informatique de différents services publics. On a dit qu'une fois par semaine en moyenne, les services de renseignement militaire sont confrontés à une cyberattaque ciblée. Les intentions des pirates ou les buts du logiciel illégal varient : faire en sorte qu'un système se plante, recueillir des mots de passe ou d'autres données, etc.

Un premier problème est que la plupart des systèmes des administrations sont protégés par des programmes que le simple particulier peut se procurer. Ces programmes interceptent certaines attaques, genre virus ou logiciel espion, mais pas toutes. Les virus que le programme ne détecte pas peuvent cependant occasionner des dégâts. Un autre facteur possible est que l'utilisateur, à savoir le fonctionnaire, n'est pas conscient des nombreux dangers virtuels. Et lorsque l'utilisateur détecte une pratique répréhensible, il arrive qu'il ne la signale pas, ce qui veut dire que le danger reste invisible.

Je souhaiterais poser quelques questions :

1) Vos services se sont-ils occupés de sécuriser tout le réseau local ? En d'autres termes, tous les PC connectés à internet sont-ils protégés d'une manière ou d'une autre ?

2) Disposez-vous de données chiffrées sur les cyberattaques ou les problèmes causés à vos services par des virus, des logiciels espions, des pirates etc. ? Dans la négative, comment se fait-il qu'on ne récolte pas ces données ?

3) Les données et les ordinateurs qu'utilisent vos services sont-ils protégés par des programmes « ordinaires » qu'emploient aussi les particuliers, ou bénéficient-ils d'une protection supplémentaire ?

4) Les données confidentielles sont-elles échangées par le canal de réseaux particuliers sécurisés, ou bien via la même connexion centrale ?

5) Le personnel de vos services est-il formé à faire face à ces menaces éventuelles ? L'incite-t-on à rapporter ce type de problèmes ? Disposez-vous de chiffres sur les rapports ou plaintes ?

Services généraux

1. Tous les ordinateurs, qu'ils soient ou non connectés à Internet, sont protégés par une sécurité multicouche.

2. Chaque couche de sécurité sauvegarde ses données de log et d'audit pour le volet dans lequel la couche de sécurité est spécialisée. Ces informations permettent de générer les données chiffrées nécessaires. Des chiffres similaires à ceux figurant en annexe 1 sont utilisés.

3. Les différentes couches permettent d’atteindre un niveau de sécurité bien plus élevé que celui des particuliers. Certaines couches sont fonctionnellement identiques, tandis que d'autres couches sont beaucoup plus élaborées.

4. A la demande de Fedict, la Direction Ict mise sur FedMAN. Dans ce cadre, Fedict offre des garanties en matière de communication sécurisée entre les partenaires (si s’agit d'autres pouvoirs publics) ou entre le département et Internet. Outre FedMAN, nous avons également recours à la technologie VPN dès celle-ci peut être utilisée.

5. Les collaborateurs de l’Ict sont sensibilisés et signalent les problèmes de sécurité potentiels grâce aux procédures prévues. Cependant, en raison des économies permanentes, il n’y a pas de budget disponible pour des formations en ce sens.

Direction générale Sécurité et Prévention

L’Ict de la Direction est géré par la Direction Ict, conformément aux normes et aux méthodes s’appliquant également à la gestion de l’Ict des Services centraux. Par conséquent, les réponses sont donc les mêmes que celles concernant les services centraux.

Direction générale Institutions et Population

1. Tous les ordinateurs connectés à Internet sont protégés par du matériel de sécurisation multiple.

2. Le logging est tenu à jour par le matériel de sécurisation ; le logging est propre au type de matériel de sécurisation. Dans certains cas, un tableau de bord est disponible ce qui permet de disposer de chiffres. Un exemple des chiffres disponibles en matière de sécurité des messages électroniques est joint en annexe 1.

3. On utilise un système équipé d'un matériel de sécurisation permettant de détecter des anomalies aux différents niveaux de communication du réseau. Ce système est comparable aux solutions qui sont appliquées dans le monde bancaire.

Par conséquent, un système de sécurisation supplémentaire, indépendant du logiciel de protection standard, a été installé sur les postes de travail des utilisateurs.

4. Plusieurs réseaux sont présents.

1) Le « réseau » opérateurs.

Certains opérateurs (par exemple: WIN, INFRAX, PUBLILINK, …) peuvent se connecter au Registre national s'ils remplissent toute une série de critères. Ils reçoivent alors une autorisation permettant aux utilisateurs de se connecter au réseau du Registre national.

2) L'Internet.

Pour l'accès à Internet, la Direction générale Institutions et Population utilise le réseau FedMAN. Cette connexion permet d'exécuter les différents services nécessaires à la gestion de la bureautique de la Direction générale (par exemple: le mail, le fax, …). Par ailleurs, certaines applications Internet sont destinées au grand public, telles que "mon dossier" et "checkdoc" qui sont accessibles par le biais de cette connexion à Internet.

3) Les lignes louées.

Certains utilisateurs, encore plus soucieux de la sécurité, souhaitent utiliser leur propre connexion. C'est le cas de la Police fédérale et de la Banque nationale.

5.

• Des formations sont régulièrement organisées dans le but de garantir le bon fonctionnement et la bonne gestion du matériel.

• Chaque année, un conseiller en sécurité établit un rapport.

• Il existe une procédure spécifique pour signaler des incidents de sécurité (information breach). Une adresse url particulière est destinée au signalement des incidents.

Direction générale de la Sécurité civile

1. Oui, il existe une protection de l’ensemble des PC et serveurs au moyen d’un logiciel antivirus (ForeFront), et d’un logiciel firewall (lorsqu’un PC se trouve dans le domaine). En ce qui concerne la protection du réseau : elle est effectuée au niveau d’IBZ par le Service d’encadrement ICT. Pour les connexions avec les unités, un VPN est utilisé.

2. En ce qui concerne les services centraux, la direction s’appuie sur le réseau géré de manière centralisée (en ce compris le pare-feu, etc.). Les réponses sont les mêmes que pour les services centraux. Il n'y a pas eu d’attaque connue des serveurs centraux. Il y a quelques années, un collaborateur a introduit un virus à cause d’une clé USB. Ce virus n'a pas été repéré par les différentes analyses antivirus. La Direction Ict a travaillé en étroite collaboration avec les développeurs d'antivirus afin de mettre au point un nouveau patch contre ce virus et de le diffuser ensuite dans le monde entier.

En ce qui concerne les attaques contre les serveurs dans les unités de la Protection civile : une société privée a été désignée pour s’assurer que chaque mois ces serveurs et leurs fichiers log ne fassent pas l’objet de cyber-attaques. Pour l’heure, il n’y a rien à signaler.

3. Les données sont protégées par Microsoft Forefront, la version Entreprise du logiciel de protection également utilisé par des particuliers.

4. Pour l'échange de données entre l’administration centrale et les unités, le réseau utilisé est Belgacom Explore.

5. Dans la DGSC, aucune formation n’est prévue pour le personnel et il y a un point de contact spécifique pour les problèmes ou les plaintes provenant des unités. Les problèmes et les plaintes de l’administration centrale sont traités par le Helpdesk du Service ICT central.

Direction générale Centre de Crise

1. Oui, il existe une protection de l’ensemble des PC et serveurs au moyen d’un logiciel antivirus (ForeFront), et d’un logiciel firewall (lorsqu’un PC se trouve en dehors du domaine). En ce qui concerne la protection du réseau: elle est effectuée au niveau d’IBZ par le service d’encadrement ICT.

2. Pour son réseau, son pare-feu et d'autres infrastructures centrales, le Centre de crise est basé sur l'infrastructure utilisée par la plupart des directions, qui est gérée de manière centralisée. Cette infrastructure n’a pas subi d’attaque connue qui puisse être considéré comme ayant atteint son objectif.

Pour ses serveurs Web Internet, le Centre de crise possède des serveurs hébergés depuis l’extérieur et un serveur interne dont il assure la gestion. En ce qui concerne ces statistiques, nous disposons de chiffres montrant qu’il y a déjà eu deux tentatives d’intrusion.

3. Les données sont protégées par Microsoft Forefront, la version Entreprise du logiciel de protection également utilisé par des particuliers.

4. Pour l’échange de certaines données confidentielles, des lignes de données séparées sont utilisées. Par ex.: pour l’échange de données avec la Défense, le réseau Binii est utilisé; pour le réseau de vidéoconférence, le réseau Belgacom Explore est utilisé.

5. Au CC, il n’y a pas de formation pour le personnel, et il n’y a pas de point de contact spécifique en cas de problèmes ou de plaintes. Les problèmes et plaintes concernant la protection sont résolus de manière ad hoc au sein du CC. Jusqu’à présent, ce nombre de problèmes et de plaintes est très bas (un à deux par an).

« Les données demandées par l'honorable membre lui ont été transmises directement.  Étant donné leur nature, elles ne sont pas publiées, mais elles peuvent être consultées au greffe du Sénat. »