Des événements relatés récemment dans la presse ont une nouvelle fois alimenté les craintes des utilisateurs des sites Internet des banques belges alors que, pourtant, les économies de leur clientèle n'ont pas subi de ponctions indésirables.

Ainsi, un pirate informatique roumain s'est emparé de données utilisées par des clients d'ING et de Dexia pour faire un tour sur des parties des sites Internet de ces banques.

Bien qu'il n'ait touché à rien de sensible, il a démontré la fragilité des systèmes de protection de ces deux organismes.

Le problème de la sécurité est géré aujourd'hui en Belgique via l'utilisation d'un identifiant et de mots de passe d'accès et transactionnel.

Si l'adoption du système de codes générés par un Digipass est une garantie de sécurité suffisante pour les opérations bancaires, il n'en demeure pas moins que la multiplication de cas de hackers parvenant à accéder aux données d'utilisateurs démontre qu'il faut toutefois rester méfiant, surtout à propos des ordinateurs des particuliers qui effectuent des opérations bancaires chez eux.

Ainsi mes questions sont les suivantes :

1. Les failles de sécurité semblent énormes chez les particuliers. Quel message leur adressez-vous pour les rassurer ?

2. La Commission bancaire, financière et des assurances (CBFA), compétente en la matière, a-t-elle pris des initiatives de contrôle ?

3. Quels types de recommandations émet-elle aux banques sur la sécurisation des opérations financières circulant sur le réseau ?

La protection des transactions financières par internet dépend tant des infrastructures internet utilisées par les établissements financiers et des services internet qu'ils fournissent que de la sécurité des ordinateurs des clients.

1) Vu la grande importance des services bancaires et financiers électroniques que fournissent les établissements financiers et la nécessité de préserver la confiance du public dans ces services, le contrôle de la sécurité des services financiers par internet occupe une place à part entière au sein du contrôle prudentiel exercé par la Commission bancaire, financière et des assurances (CBFA).

Les actions prudentielles de la CBFA en la matière comprennent non seulement des instructions aux établissements financiers en ce qui concerne les mesures de sécurité qui sont attendues de leur part, mais également des contrôles sur place auprès d’établissements individuels.

La circulaire CBFA_2009_17 du 7 avril 2009 relative aux « services financiers via internet » examine longuement les mesures de sécurité à prendre par les établissements financiers pour faire face aux risques liés à l’internet. Parmi ces mesures figurent notamment les éléments clés suivants :

• l'utilisation de méthodes d'authentification solides qui soient adaptées à la nature et aux risques des services internet fournis et qui permettent de vérifier avec un degré de certitude très élevé l'identité des utilisateurs ;

• l'application de solutions de sécurité et/ou de surveillance pour empêcher ou détecter les opérations frauduleuses avant qu'elles se concrétisent ;

• le recours à des techniques de cryptage solides et reconnues afin de préserver la confidentialité des informations et des opérations entre l'ordinateur du client et l'établissement financier.

La CBFA effectue régulièrement des contrôles auprès des établissements financiers quant à la sécurité des services internet qu'ils fournissent. Les points d’attention établis à cette occasion sont périodiquement ajustés en concertation avec le secteur. En raison des fraudes constatées ces dernières années, ces actions de contrôle prudentiel, ainsi que la concertation sectorielle qui les accompagne, ont encore été étendues.

2) À la lumière des efforts en matière de sécurité qu'ont fournis les établissements financiers pour limiter autant que possible les risques liés à l’internet, et sur la base du contrôle exercé par la CBFA en cette matière, la sécurité des ordinateurs des clients constitue actuellement le maillon qui se révèle être de loin le plus faible dans la chaîne de sécurité. C’est pourquoi la circulaire du 7 avril 2009 relative aux « services financiers via internet » invite les établissements financiers à prendre notamment les mesures suivantes :

• tenir compte, dans le choix de leurs solutions de sécurité, des risques de sécurité internet du côté des clients, ainsi que de la possibilité pour les clients d'évaluer ces risques et de se prémunir contre eux ;

• informer à temps la clientèle de nouvelles évolutions et de nouveaux points d'attention en matière de sécurité dans l'utilisation des services internet fournis, et/ou sensibiliser les clients à ces aspects.

Il y a lieu par ailleurs de sensibiliser l’ensemble des utilisateurs internet aux risques liés à l’utilisation de l’internet et aux mesures de prévention et de protection qu'ils doivent prendre en la matière. La création, il y a peu, par le gouvernement belge, d’un Computer Emergency Response Team (CERT) national, est particulièrement utile et importante à cet égard. Le CERT est chargé notamment de sensibiliser les entreprises et les citoyens de notre pays aux différents risques que présente l’internet ainsi qu’aux mesures de prévention à prendre.