SÉNAT DE BELGIQUE BELGISCHE SENAAT
________________
Session 2013-2014 Zitting 2013-2014
________________
9 janvier 2014 9 januari 2014
________________
Question écrite n° 5-10747 Schriftelijke vraag nr. 5-10747

de Nele Lijnen (Open Vld)
van Nele Lijnen (Open Vld)

à la vice-première ministre et ministre de l'Intérieur et de l'Égalité des Chances
aan de vice-eersteminister en minister van Binnenlandse Zaken en Gelijke Kansen
________________
CERT - Cybercrime - Incidents - Signalements - Enregistrement - Traitement - Nombre CERT - Cybercrime - Beveiligingsincidenten - Meldingen - Registratie - Verwerking - Aantallen 
________________
criminalité informatique
virus informatique
statistique officielle
computercriminaliteit
computervirus
officiële statistiek
________ ________
9/1/2014Verzending vraag
14/3/2014Rappel
28/4/2014Einde zittingsperiode
9/1/2014Verzending vraag
14/3/2014Rappel
28/4/2014Einde zittingsperiode
________ ________
Aussi posée à : question écrite 5-10748 Aussi posée à : question écrite 5-10748
________ ________
Question n° 5-10747 du 9 janvier 2014 : (Question posée en néerlandais) Vraag nr. 5-10747 d.d. 9 januari 2014 : (Vraag gesteld in het Nederlands)

Sur le site web de la CERT, on peut lire : « CERT.be collecte des informations à propos d'incidents en cours (attaques en cours, nouvelles vulnérabilités...) soit automatiquement (via les systèmes de senseurs de CERT.be, honeypots, darknets et autres) ; soit via les informations fournies par des tierces parties comme d'autres CSIRTs ». Par ailleurs, la CERT signale que les informations collectées automatiquement ne peuvent être traitées intégralement en raison des capacités limitées. Ces remarques correspondent à la réponse que la CERT a apportée à ma question n° 5-10519 : « Pour les chiffres cités dans votre question, CERT.be est convaincu que le nombre réel de contaminations en Belgique, mesuré sur un an, est beaucoup plus élevé. » Cela s'explique entre autres par le fait qu'il n'est pas obligatoire de signaler les problèmes. Un expert de la CERT a déjà laissé entendre que l'absence de cette obligation résultait d'un exercice d'équilibre entre une meilleure collecte des données et les effets positifs qui découlent de la notification spontanée et volontaire des incidents.

Mes questions sont les suivantes.

1) Pouvez-vous préciser la part des signalements traités et celle des signalements qui ne le sont pas ? Je souhaiterais obtenir les données relatives aux années 2010, 2011, 2012 et 2013, ventilées par année et par trimestre. Pouvez-vous me communiquer ces quantités à la fois en chiffres absolus et en pourcentages ? Pouvez-vous distinguer les signalements provenant de sources automatiques de ceux qui viennent de tierces parties ?

2) Combien de signalements la CERT a-t-elle reçues par la messagerie électronique [email protected] en 2010, 2011, 2012 et 2013 ? Pouvez-vous ventiler les chiffres par trimestre ?

3) Combien de signalements la CERT a-t-elle reçues par fax, puisque, selon le site web, il s'agit aussi d'un mode de communication possible ? Pouvez-vous ventiler les chiffres par trimestre pour les mêmes années ?

4) Considérez-vous les chiffres communiqués en réponse à la question 1 comme problématiques ? Pouvez-vous expliquer pourquoi ?

5) Que pensez-vous de l'idée de rendre éventuellement obligatoire le signalement d'incidents par des acteurs importants ? Pouvez-vous argumenter ?

 

Op de website van CERT lees ik: "CERT.be verzamelt informatie over beveiligingsincidenten (nieuwe aanvallen, kwetsbaarheden, ...), ofwel automatisch (via sensoren van CERT.be, honeypots, darknets en andere vergelijkbare systemen) of door informatie verschaft door een derde partij zoals andere CSIRTs." Tegelijk is door CERT opgemerkt dat deze automatische aanlevering van meldingen niet volwaardig verwerkt kan worden door de beperkte capaciteiten. Deze bemerkingen stemmen overeen met wat CERT antwoordt naar aanleiding van mijn vraag 5-10519: "Wat betreft de cijfers waarnaar u in uw vraag verwijst, is CERT.be overtuigd dat het werkelijke aantal besmettingen in België over een jaar gemeten veel hoger ligt." Een van de redenen is dat het melden van problemen niet verplicht is. Een expert van CERT liet reeds verstaan dat het ontbreken van deze verplichting een evenwichtsoefening is tussen het beter verzamelen van gegevens en de positieve effecten die ontstaan wanneer deze meldingen spontaan en uit vrije wil gebeuren.

Hierover heb ik volgende vragen:

1) Kan u mij vertellen wat het aandeel is van de meldingen die wel verwerkt worden, en welke hoeveelheid niet? Dit voor de jaren 2010-11-12-13, opgedeeld per jaar en per kwartaal. Kan u deze cijfers zowel procentueel als absoluut meedelen? Kan u dit tevens opdelen in meldingen die komen van automatische bronnen of informatie die komt van derde partijen?

2) Hoeveel meldingen kreeg CERT via [email protected] in de jaren 2010-11-12-13? Kan u de cijfers opdelen per kwartaal?

3) Hoeveel meldingen ontving CERT in die jaren per fax, aangezien dit ook een mogelijkheid is volgens de website? Kan u ze opdelen per kwartaal voor dezelfde jaren?

4) Ziet u de cijfers uit het antwoord op vraag 1 als problematisch? Kan u toelichten waarom wel of niet?

5) Hoe staat u ten opzichte van het al dan niet verplicht maken van het melden van incidenten door relevante actoren? Kan u dit argumenteren?