De nos jours, l'usage des ordinateurs et d'internet est devenue la norme. L'administration vit avec son temps et emploie divers logiciels pour le traitement et l'échange de données. Il s'agit souvent d'informations confidentielles. Cette évolution vers une administration davantage numérisée représente une menace, car des lacunes dans la sécurité peuvent avoir pour effet de faire aboutir des informations dans de mauvaises mains.

Par exemple, les services de renseignement militaire et la Sûreté de l'État s'inquiètent de la sécurisation informatique de différents services publics. On a dit qu'une fois par semaine en moyenne, les services de renseignement militaire sont confrontés à une cyberattaque ciblée. Les intentions des pirates ou les buts du logiciel illégal varient : faire en sorte qu'un système se plante, recueillir des mots de passe ou d'autres données, etc.

Un premier problème est que la plupart des systèmes des administrations sont protégés par des programmes que le simple particulier peut se procurer. Ces programmes interceptent certaines attaques, genre virus ou logiciel espion, mais pas toutes. Les virus que le programme ne détecte pas peuvent cependant occasionner des dégâts. Un autre facteur possible est que l'utilisateur, à savoir le fonctionnaire, n'est pas conscient des nombreux dangers virtuels. Et lorsque l'utilisateur détecte une pratique répréhensible, il arrive qu'il ne la signale pas, ce qui veut dire que le danger reste invisible.

Je souhaiterais poser quelques questions :

1) Vos services se sont-ils occupés de sécuriser tout le réseau local ? En d'autres termes, tous les PC connectés à internet sont-ils protégés d'une manière ou d'une autre ?

2) Disposez-vous de données chiffrées sur les cyberattaques ou les problèmes causés à vos services par des virus, des logiciels espions, des pirates etc. ? Dans la négative, comment se fait-il qu'on ne récolte pas ces données ?

3) Les données et les ordinateurs qu'utilisent vos services sont-ils protégés par des programmes « ordinaires » qu'emploient aussi les particuliers, ou bénéficient-ils d'une protection supplémentaire ?

4) Les données confidentielles sont-elles échangées par le canal de réseaux particuliers sécurisés, ou bien via la même connexion centrale ?

5) Le personnel de vos services est-il formé à faire face à ces menaces éventuelles ? L'incite-t-on à rapporter ce type de problèmes ? Disposez-vous de chiffres sur les rapports ou plaintes ?

L'honorable membre trouvera ci-après la réponse à ses questions.

Office des Étrangers

1. Oui, tous les PC connectés à internet sont protégés.

2. Oui, l’Office des Étrangers dispose de données chiffrées.

3. Les appareils sont bien sécurisés. Un appareil est toujours sécurisé par plusieurs applications qui n’entrent pas en conflit. Le fait que ce logiciel de sécurité soit utilisé ou non par des particuliers n’entre pas en considération, puisque ce point ne représente pas un critère de qualité. Un benchmarking international est par contre réalisé pour contrôler la qualité des applications de sécurité.

4. A l’époque, il a été convenu avec le Service public fédéral Technologie de l'information et de la communication (FEDICT) que, la Direction ICT du Service public fédéral (SPF) Intérieur se conformerait dans toute la mesure du possible aux applications de FEDICT ou aurait recours à celles-ci. C’est en l’occurrence aussi le cas.

5. Oui, le personnel est formé à faire face à des menaces éventuelles et incité à rapporter ce type de problèmes.

Commissariat-Général aux Réfugies et aux Apatrides (CGRA)

1. Pour ce qui est du CGRA, l’accès à internet s’effectue via le serveur proxy du SPF Intérieur. Le courrier électronique passe également par le SPF Intérieur. Le CGRA bénéficie donc également des mesures de sécurité installées par le SPF Intérieur (filtre barracuda contre le spam, par exemple). Le CGRA utilise en outre l‘anti-virus Symantec Endpoint Protection sur ses PC client.

2. En ce qui concerne les cyberattaques ou les problèmes de virus etc., ils font l’objet d’un suivi vigilant de la part du service ICT du CGRA. Par le passé, le CGRA a déjà été victime de virus informatiques. A cette occasion, il a été constaté que le pare-feu entre le CGRA et le SPF Intérieur n’est pas encore actif. Au demeurant, le CGRA, comme d’autres instances fédérales, est tributaire de la qualité des updates anti-virus.

3. La sécurisation informatique spécifiquement mise en œuvre au CGRA consiste en un blocage des ports USB. L’utilisation du WiFi n’est pas non plus autorisée au CGRA.

4. Le CGRA prévoit une sécurisation supplémentaire pour son réseau de télétravail. Les laptops fournis aux télétravailleurs sont dotés d’un pare-feu local. Ils sont gérés centralement par Check Point. Un logging sur les pare-feu permet d’enregistrer toutes les attaques.

5. Oui.

Conseil du Contentieux des Étrangers

1. Le réseau local du Conseil du Contentieux des Étrangers est sécurisé et protégé contre les virus, les espiogiciels, les pirates informatiques et les cyberattaques sur le site Internet.

2. Le Conseil dispose de chiffres relatifs à l’enregistrement de cyberattaques ou de virus.

3. Le réseau du Conseil est sécurisé par deux coupe-feu différents et par une DMZ (zone démilitarisée).

4. Toutes les informations sont échangées via la même connexion.

5. Le personnel TIC du Conseil dispose de connaissance et de compréhension suffisantes de la sécurisation informatique. En outre, le Conseil a collaboré avec un partenaire externe en 2012, afin de réaliser une analyse des risques.

Agence fédérale pour l’accueil des demandeurs d’asile (FEDASIL)

1. Oui, Fedasil a entrepris une sécurisation de l’entièreté de notre réseau local: Tous les PCs connectés au réseau sont protégés par le logiciel Symantec Endpoint Protection.

2. Il existe au sein de Symantec un module de rapportage et un module de statistique.

3. La version de Symantec que nous utilisons est une version spécifique pour le milieu professionnel. Cette version est une version client/serveur qui fonctionne différemment des versions privées.

4. Les données sont échangées via le réseau central. Ce réseau est protégé par des pare-feu matériels et logiciels.

5. Le personnel est tenu de communiquer tout les risques éventuels au service ICT, suivant le règlement de interne. Ces plaintes et remarques peuvent être retrouvées grâce à l’application Helpdesk du service ICT ou sont rassemblées toutes tous les incidents.

Service public de programmation (SPP) Intégration Sociale, Lutte contre la Pauvreté et Économie Sociale

1. Le SPP Intégration Sociale utilise et partage le réseau des Shared Services de la Chancellerie pour sa bureautique et l’extranet de la Sécurité sociale pour toutes ses applications liées au champ d’activité de la Sécurité sociale. Plus précisément :

• Le réseau des Shared services de la Chancellerie est administré par Fedict qui en assure la sécurité tant au point de vue logiciel que matériel, en définissant et en appliquant une politique de sécurité stricte : contrôle des accès, mise en place d’antispams, d’antivirus, d’un système de détection et de protection contre les intrusions, backup journaliers des données,

• L’extranet de la Sécurité sociale est un réseau sécurisé qui expose à travers le portail de la Sécurité sociale les applications du SPP IS consacrées à la sécurité sociale ; ce réseau fait également l’objet de mesures de sécurité, il offre entre autres des services sécurisés de contrôle d’accès, d’identification des personnes et de détection des tentatives d’intrusion.

Même pour le travail à domicile des collaborateurs du SPP IS, les utilisateurs doivent activer un VPN – tunnel sécurisé entre l’ordinateur et le réseau - nécessitant une identification forte de la personne – que ce soit pour se connecter au réseau des Shared Services ou à l’extranet de la Sécurité sociale.

Comme exemple de mesure complémentaire, signalons que le système VPN valide entre autres si la protection antivirus du PC est à jour avant d’autoriser l’accès.

2. Le SPP Intégration Sociale ne dispose pas de chiffres sur le nombre de tentatives d’intrusions ou les attaques virales mais aussi bien le réseau Shared Service que l’extranet de la Sécurité sociale sont monitorés en permanence par les équipes systèmes de la Chancellerie et de SMALS qui disposent de ces chiffres pour l’ensemble des utilisateurs de leur réseau respectif.

3. Les données et ordinateurs du SPP IS sont protégés par des systèmes antivirus pour entreprises, des systèmes antispams et des systèmes anti-intrusions professionnels, outils logiciels qui sont gérés par les propriétaires et responsables des réseaux utilisés par le SPP IS (Shared Services pour les applications bureautique et extranet pour les applications de sécurité sociale).

4. L’échange de données dans le cadre de nos activités-métier – liées à la sécurité sociale- se fait exclusivement à travers l’extranet de la Sécurité sociale et en respectant les règles d’accès de ce réseau définies par la Banque Carrefour de la Sécurité sociale.

5. Le personnel est averti des règles de sécurité et de précaution à prendre notamment à travers la politique de traitement des emails. Les incidents de sécurité (virus, vols, cas suspects) sont transmis au Helpdesk du SPP IS qui prend les mesures correctives ou réparatrices adéquates, soit d’initiative soit en collaboration avec les helpdesks des réseaux Shared Services et SMALS (extranet de la sécurité sociale).