« Durant les six derniers mois, au moins 350 000 ordinateurs ont été infectés pour servir à disséminer des logiciels malveillants ou à soutenir des attaques contre des ordinateurs d'entreprises ou d'autorités publiques. » C'est que nous avons pu lire dans divers journaux le 25 octobre. Selon un expert de CERT ces découvertes ne révèlent que « le sommet d'un iceberg ». En outre le nombre de signalements d'infections faits par des entreprises et des organisations aurait fortement augmenté durant les cinq dernières années.

Mes questions à la ministre sont les suivantes.

1) Comment la ministre évalue-t-elle ces données ? Correspondent-elles à ce qui était attendu ou est-ce plus grave ? La ministre peut-elle fournir des explications ?

2) La ministre peut-elle me transmettre le nombre global d'infections d'ordinateurs dans notre pays pour les trois dernières années ?

3) Comment devons-nous interpréter l'assertion selon laquelle il ne s'agirait que du sommet de l'iceberg ? Le nombre d'ordinateurs infectés est-il encore bien plus élevé, l'enregistrement des signalements n'est-il pas suffisamment au point pour déterminer plus précisément le nombre d'infections,… ? La ministre peut-elle donner des explications détaillées ?

4) Devons-nous conclure des constats de la CERT que la criminalité informatique n'est pas seulement le fait de criminels étrangers mais qu'il s'agit aussi d'un problème qui se répand depuis la Belgique ? La ministre peut-elle expliquer sa réponse ?

1) Computer Emergency Response Team (CERT).be a depuis publié les données pour toute l’année 2013. Comme je l’ai déjà mentionné dans ma réponse à votre question écrite n°5-10519, pour les spécialistes en la matière, ces chiffres ne sont pas vraiment surprenants. Le plus gros problème est qu’il existe pas de données exactement complètes, ni pour la Belgique, ni pour d’autres pays. Les données chiffrées disponibles sont toujours une combinaison de données provenant d'entreprises spécialisées dans les antivirus ou actives dans la cybersécurisation, de bureaux de consultance, des organisations bénévoles actives dans la cybersécurisation, du monde académique et des autorités (via, entre autres, les CERT, l'ENISA, la police et Europol). Concernant les données citées dans votre question, CERT.be est convaincu que le nombre réel d'infections en Belgique, mesuré sur un an, est beaucoup plus élevé.

2) Le rapport complet pour les années 2010 à 2013 se trouve sur le site web du CERT.be.

3) Il n’y a pas en Belgique d’obligation de signaler des cyberincidents. Les entreprises et administrations qui sont victimes de cyberincidents impliquant la fuite d'informations privées doivent cependant rapporter ces incidents à la Commission de la protection de la vie privée. Sur la base des incidents signalés à CERT.be, nous pouvons uniquement considérer que, selon les statistiques de plusieurs vendeurs de solutions de cybersécurité, le nombre d'incidents devrait être beaucoup plus élevé. Rendre obligatoire le signalement de tous les incidents serait contreproductif dans le sens où il serait très difficile de tous les traiter. Il serait en outre très compliqué de détecter et traiter les incidents vraiment graves parmi la masse d'incidents rapportés.

4) La cybercriminalité est un phénomène international et les criminels profitent du fait que les législations des pays sont différentes. Les systèmes vulnérables sont détectés automatiquement, indépendamment du pays ou de l’organisation où ils se trouvent. Le Centre pour la CyberSécurité Belgique, dont la création vient d’être décidée, et l’augmentation des moyens pour renforcer le CERT et les autres instances actives dans le domaine de la cybersécurité permettront de lutter plus efficacement contre la cybercriminalité. Comme la cybercriminalité ne s’arrête pas à nos frontières, il est également nécessaire de collaborer avec les autres pays.