Sur le site web de la CERT, on peut lire : « CERT.be collecte des informations à propos d'incidents en cours (attaques en cours, nouvelles vulnérabilités...) soit automatiquement (via les systèmes de senseurs de CERT.be, honeypots, darknets et autres) ; soit via les informations fournies par des tierces parties comme d'autres CSIRTs ». Par ailleurs, la CERT signale que les informations collectées automatiquement ne peuvent être traitées intégralement en raison des capacités limitées. Ces remarques correspondent à la réponse que la CERT a apportée à ma question n° 5-10519 : « Pour les chiffres cités dans votre question, CERT.be est convaincu que le nombre réel de contaminations en Belgique, mesuré sur un an, est beaucoup plus élevé. » Cela s'explique entre autres par le fait qu'il n'est pas obligatoire de signaler les problèmes. Un expert de la CERT a déjà laissé entendre que l'absence de cette obligation résultait d'un exercice d'équilibre entre une meilleure collecte des données et les effets positifs qui découlent de la notification spontanée et volontaire des incidents.

Mes questions sont les suivantes.

1) Pouvez-vous préciser la part des signalements traités et celle des signalements qui ne le sont pas ? Je souhaiterais obtenir les données relatives aux années 2010, 2011, 2012 et 2013, ventilées par année et par trimestre. Pouvez-vous me communiquer ces quantités à la fois en chiffres absolus et en pourcentages ? Pouvez-vous distinguer les signalements provenant de sources automatiques de ceux qui viennent de tierces parties ?

2) Combien de signalements la CERT a-t-elle reçues par la messagerie électronique [email protected] en 2010, 2011, 2012 et 2013 ? Pouvez-vous ventiler les chiffres par trimestre ?

3) Combien de signalements la CERT a-t-elle reçues par fax, puisque, selon le site web, il s'agit aussi d'un mode de communication possible ? Pouvez-vous ventiler les chiffres par trimestre pour les mêmes années ?

4) Considérez-vous les chiffres communiqués en réponse à la question 1 comme problématiques ? Pouvez-vous expliquer pourquoi ?

5) Que pensez-vous de l'idée de rendre éventuellement obligatoire le signalement d'incidents par des acteurs importants ? Pouvez-vous argumenter ?

1) Tous les incidents sont repris dans les statistiques. Tous les signalements d'incident ne mènent pas à un incident. Certains signalements sont liés à un seul et même incident. D'autres ne mènent absolument pas à un incident. Certains incidents sont clos après un certain temps, par exemple s'il n'y a plus de réponse de la part de la personne responsable du signalement ou parce que CERT.be ne dispose/disposait pas d'assez de ressources pour examiner l'incident plus en profondeur. Sur la base de la taxonomie et du système actuels, il n'est pas possible de fractionner les chiffres davantage. 

CERT.be a reçu 6.678 signalements en 2013. Cette même année, il y eut environ 339 cyberincidents par mois. En termes de signalements automatiques, 521.970 ont été reçus et étaient relatifs à des ordinateurs infectés. 

2) Tous les signalements mentionnés dans les statistiques ont été faits via [email protected] et étaient parfois précédés d'un contact téléphonique. CERT.be demande toujours d'envoyer un e-mail. Cette méthode est en effet la plus efficace et permet de laisser une trace incontestable pour les deux parties, en ce inclus un numéro d'incident unique. 

3) Aucun signalement n'a été reçu par fax. 

4) Ces chiffres mettent en évidence le fait que la Belgique, ainsi que les autres partenaires, doivent faire face à la cyber-menace. Le doublement des chiffres par rapport à l'année passée ne peut pas s'expliquer que par l'augmentation du nombre d'incidents. Il résulte également du fait que CERT.BE est mieux connu par les victimes d'incidents. 

5) Tout d'abord, CERT.be est partisan du signalement spontané, étant donné que la confiance est la meilleure base qui soit pour la collaboration, la transparence et l'honnêteté. Une obligation aura sans aucun doute un effet sur le nombre de signalements, mais mènera également à une diminution de la confiance. Par exemple, qui sanctionnera une entreprise ou une organisation si l'on découvre qu'un incident n'a pas été signalé ? Le CERT doit-il également le signaler s'il le constate ? Cela mine naturellement la confiance portée à CERT.be en tant qu'instance fiable. Demeure encore un problème : de nombreux incidents qui ne seraient pas signalés ne seront jamais révélés, ce qui mènera, en fin de compte, à une perte de confiance et à une image altérée de ce qui s'est réellement passé. À cet effet, il est fondamental d'établir une confiance et de prévoir un mandat clair pour CERT.be.