SÉNAT DE BELGIQUE BELGISCHE SENAAT
________________
Session 2013-2014 Zitting 2013-2014
________________
2 avril 2014 2 april 2014
________________
Question écrite n° 5-11311 Schriftelijke vraag nr. 5-11311

de Nele Lijnen (Open Vld)

van Nele Lijnen (Open Vld)

à la vice-première ministre et ministre de l'Intérieur et de l'Égalité des Chances

aan de vice-eersteminister en minister van Binnenlandse Zaken en Gelijke Kansen
________________
la cybersécurité des centrales nucléaires de cyberveiligheid van kerncentrales 
________________
protection des données
centrale nucléaire
criminalité informatique
sûreté nucléaire
Agence fédérale de contrôle nucléaire
sécurité nucléaire
gegevensbescherming
kerncentrale
computercriminaliteit
nucleaire veiligheid
Federaal Agentschap voor Nucleaire Controle
nucleaire beveiliging
________ ________
2/4/2014 Verzending vraag
17/4/2014 Antwoord
2/4/2014 Verzending vraag
17/4/2014 Antwoord
________ ________
Requalification de : demande d'explications 5-4869 Requalification de : demande d'explications 5-4869
________ ________
Question n° 5-11311 du 2 avril 2014 : (Question posée en néerlandais) Vraag nr. 5-11311 d.d. 2 april 2014 : (Vraag gesteld in het Nederlands)

Des experts ont réalisé une étude sur la cybersécurité des centrales nucléaires aux États-Unis (EU) et au Canada. Le résultat : 25 points faibles qui rendent les centrales nucléaires vulnérables aux hackers. Il s'agit surtout de points faibles dans le protocole régissant la communication interne entre les différentes parties. Ces protocoles ne sont d'ordinaire pas contrôlés sur le plan de la sécurité car ils ne sont pas directement liés à l'internet. Par ailleurs, des experts font état d'un faux sentiment de sécurité. Ils considèrent que moins on est au courant du fonctionnement des protocoles, moins on risque de les utiliser à de mauvaises fins.

Les chercheurs ont toutefois découvert que ces vulnérabilités pouvaient avoir d'importantes conséquences. Les centrales pourraient être mises à l'arrêt, ou le système pourrait être mis dans l'impossibilité de réagir aux ordres des opérateurs. Dans le plus mauvais cas, des hackers prennent le contrôle de l'ensemble du système.

Source : http://www.theguardian.com/technology/2013/oct/17/us-power-plants-hacking

Je souhaiterais poser les questions suivantes :

1) Comment réagit-on aux éventuels dangers de cyberattaques contre des centrales nucléaires belges et à leurs implications sur notre pays ? Nos centrales présentent-elles également les mêmes « points faibles » qu'aux États-Unis ? Pouvez-vous fournir des précisions ? La ministre estime-t-elle qu'une telle attaque est possible ?

2) A-t-on déjà réalisé des études sur la cybersécurité des centrales nucléaires belges ? Dans l'affirmative, quels en ont été les résultats ? Dans la négative, pour quelles raisons ? Pouvez-vous fournir des précisions ?

3) Si aucune étude n'a été réalisée, la ministre juge-t-elle nécessaire d'en faire effectuer une à l'avenir ? Si oui, pourquoi ? Sinon, pour quelles raisons ?

4) Le premier ministre estime-t-il possible que les centrales nucléaires belges aient déjà été la cible de cybercriminels? Si oui, pourquoi ? Sinon, pour quelles raisons ? Dans l'affirmative, peut-il fournir des explications détaillées ?

5) A-t-on déjà pris conscience, sur le plan politique, de l'éventuel impact de cyberactions sur la sécurité des centrales nucléaires dans notre pays ? De quelle manière ?

6) Notre pays est-il conscient des éventuels dangers d'attaques sur des protocoles qui ne sont pas liés à internet, comme décrit dans l'étude évoquée ? La ministre peut-elle détailler la situation en Belgique ?

7) Qui est responsable de la cybersécurité des centrales nucléaires dans notre pays ?

 

Experts hebben een onderzoek gedaan naar de cyberveiligheid van kerncentrales in de Verenigde Staten (VS) en Canada. Het resultaat: 25 zwakheden die de kerncentrales kwetsbaar maken voor hackers. Het gaat vooral om zwakke punten in het protocol dat voor de interne communicatie tussen de verschillende onderdelen zorgt. Die protocollen worden normaal niet gecontroleerd op veiligheid omdat ze niet direct verbonden zijn met het internet. Bovendien vermelden experts dat er een vals gevoel van veiligheid wordt gecreëerd. Ze stellen: "Hoe minder mensen op de hoogte zijn van de werking van de protocollen, hoe kleiner de kans dat iemand deze zal misbruiken."

De onderzoekers hebben echter ontdekt dat deze kwetsbaarheden grote gevolgen kunnen hebben. De centrales zouden kunnen worden stilgelegd of het systeem zou het kunnen worden verhinderd om te reageren op de opdrachten van de operatoren. In het slechtste geval nemen hackers het hele systeem over.

Bron: http://www.theguardian.com/technology/2013/oct/17/us-power-plants-hacking

Graag had ik volgende vragen gesteld:

1) Wat is de reactie op de mogelijke gevaren voor de Belgische kerncentrales inzake cyberaanvallen en de implicaties hiervan op ons land? Vertonen onze centrales ook dergelijke "zwakke punten" zoals in de VS? Kan dit concreet worden toegelicht? Acht de eerste minister een dergelijke aanval mogelijk?

2) Is al onderzoek gedaan naar de cyberveiligheid van de Belgische kerncentrales? Zo ja, wat waren de resultaten? Indien niet, waarom niet? Kan dit uitgebreid worden toegelicht?

3) Indien nog geen onderzoek werd gedaan, acht de eerste minister het noodzakelijk om in de toekomst een dergelijk onderzoek te verrichten? Waarom wel? Waarom niet?

4) Acht de eerste minister het mogelijk dat Belgische kerncentrales reeds het slachtoffer zijn geweest van cybercriminelen? Waarom wel? Waarom niet? Zo ja, kan dit uitgebreid worden toegelicht?

5) Is er beleidsmatig reeds een besef van de mogelijke impact van cyberacties op de veiligheid van de kerncentrales in ons land? Op welke manier?

6) Is ons land zich wel bewust van de mogelijke gevaren van aanvallen op protocollen die niet verbonden zijn met het internet, zoals beschreven in het artikel? Kan de eerste minister de situatie in België toelichten?

7) Wie staat in ons land in voor de cyberveiligheid van de kerncentrales?

 
Réponse reçue le 17 avril 2014 : Antwoord ontvangen op 17 april 2014 :

Au lendemain de la catastrophe nucléaire qui a frappé la centrale nucléaire de Fukushima-Daiichi en 2011, les centrales nucléaires belges ont été soumises à des tests de résistance, baptisés « stress tests », dans le cadre d’initiatives prises conjointement au niveau européen. Dans notre pays, la portée de ces tests de résistance ne s’est pas limitée aux phénomènes naturels extrêmes, mais elle a été élargie aux menaces potentielles liées aux activités humaines, qu’elles soient ou non malveillantes, telles qu’une cyber-attaque.

La vulnérabilité des centrales nucléaires de Doel et de Tihange aux cyber-attaques a fait l’objet d’une analyse de l’exploitant, dont la fiabilité a ensuite été évaluée par l’AFCN et Bel V. Une synthèse des résultats a été publiée début 2012 sur le site web de l’AFCN (http://www.fanc.fgov.be/fr/news/stresstests-nationaal-verslag-over-de-door-de-mens-veroorzaakte-gebeurtenissen/479.aspx).

L’exploitant a analysé les risques liés à quatre types d’attaque informatique :

- l’attaque externe, depuis l’extérieur du réseau informatique de l’entreprise,

- l’attaque hors site, via le réseau bureautique de l’entreprise,

- l’attaque sur site, via le réseau bureautique de la centrale,

- l’attaque sur site, par accès physique direct aux ordinateurs et systèmes sur les réseaux de la centrale.

L’exploitant a ensuite étudié les possibilités de perte de contrôle de la centrale par l’opérateur, compte tenu des dispositions de sécurité existantes.

Selon l’analyse de l’exploitant, la perte des fonctions de sûreté des centrales nucléaires résultant d’une attaque informatique est impossible, considérant que :

- les systèmes de contrôle commande et de protection des réacteurs ne sont connectés ni au réseau informatique de la centrale, ni au réseau de l’entreprise ;

- la quasi-totalité des systèmes de contrôle commande et de protection des réacteurs utilise une technologie analogique câblée (non numérique) qui n’est pas vulnérable aux cyber-attaques ;

- des dispositions sont en place (incluant la protection physique) pour protéger les systèmes informatisés qui supportent des fonctions de sûreté ;

- un programme d’améliorations a été mis en place pour accroître le niveau de sécurité.

L’évaluation de l’AFCN et de Bel V confirme ces conclusions. Toutefois, un des points d’attention qui a été identifié et qui devra continuer à être vérifié minutieusement, concerne la vulnérabilité des systèmes industriels de type SCADA (Supervisory Control and Data Acquisition), qui augmente en raison de l’apparition de nouveaux malware développés pour s’attaquer à ces systèmes. La vulnérabilité de ces protocoles SCADA pour la collecte, la transmission, le traitement et la visualisation des signaux de mesure et de contrôle, est également abordée dans l’étude auquel vous faites référence.

L’AFCN n’a pas connaissance d’incidents de cybercriminalité ayant été dirigées à l’encontre de centrales nucléaires belges.

Les autorités de sûreté belges sont tout à fait conscientes du fait que les centrales nucléaires constituent une cible potentielle de cyber-attaques. Les éléments suivants attestent de cette prise de conscience :

a) La Belgique a, d’initiative, élargi la portée des tests de résistance de 2011 au risque de cyber-attaques.

b) Le rapport national portant sur ces tests de résistance précise que les risques de cyber-sécurité doivent être suivis minutieusement, dès lors que :

- La vulnérabilité/le au risque augmente de plus en plus au fur et à mesure de la modernisation de la technologie informatique des installations.

- La vulnérabilité/leau risque augmente avec l’augmentation de la sous-traitance. Ce risque est partiellement géré par la mise au point de normes internes pour cadrer les intervenants externes.

- La vulnérabilité des systèmes industriels de type SCADA (Supervisory Control and Data Acquisition) augmente en raison de l’apparition de nouveaux malware développés pour s’attaquer à ces systèmes.

c) La Belgique possède une réglementation spécifique en matière de protection physique des installations nucléaires et en matière de protection des informations classifiées et catégorisées, laquelle porte notamment sur les mesures de protection physique destinées à protéger les centrales nucléaires (arrêtés royaux du 17 octobre 2011). Cette réglementation constitue la pierre angulaire d’une politique efficace de cyber-sécurité.

d) L’objectif est de définir en 2014 une menace de référence (Design Basis Threat ou DBT) en matière de cyber-sécurité. Une DBT est un document classifié qui décrit les acteurs génériques potentiels de la menace, ainsi que leur motivation, leur intention, leur potentiel et leur mode opératoire. La définition de cette DBT est un processus interactif impliquant l’AFCN et d’autres services publics concernés, mais également des experts en informatique. Ce domaine évolue rapidement et, tant sur le plan international que national, les initiatives nécessaires doivent être mises en place pour faire face à cette menace. En conséquence, l’AFCN prend des initiatives qui s’inscrivent dans le droit fil des évolutions actuelles au niveau international.

e) La Belgique est également attentive aux activités des divers groupes de travail qui, dans le giron de l’Agence internationale de l'Énergie atomique (AIEA), élaborent des recommandations spécifiques à la cyber-sécurité dans le secteur nucléaire. Au cours de prochaines années, le thème de la cyber-sécurité sera de plus en plus souvent abordé lors des différentes conférences internationales consacrées à la sécurité nucléaire.

f) La Belgique est en contact avec des homologues étrangers afin d’échanger des informations dans la mesure du possible.

Comme déjà mentionné, un points d’attention résultant des tests de résistance de 2011 concerne la nécessité de vérifier minutieusement à l’avenir la vulnérabilité des systèmes industriels de type SCADA (Supervisory Control and Data Acquisition). La vulnérabilité augmente au fur et à mesure de la modernisation des installations IT des centrales nucléaires, de l’augmentation de la sous-traitance dans le secteur informatique et de l’apparition de nouveaux malware développés spécifiquement pour s’attaquer à ces systèmes de type SCADA. Ce genre de risques fait partie de la cyber-DBT du secteur nucléaire.

La protection physique d’une installation nucléaire telle qu’une centrale relève avant tout de la responsabilité de l’exploitant (arrêté royal du 17 octobre 2011 relatif à la protection physique des matières nucléaires et des installations nucléaires). L’agence fédérale de Contrôle nucléaire (AFCN) s’assure que les exploitants respectent la réglementation relative à la sûreté et à la sécurité de ces installations.

Naar aanleiding van de kernramp in de Japanse kerncentrale van Fukushima-Daiichi werden de Belgisch kerncentrales in 2011 onderworpen aan een zogenaamde stresstest of weerstandstest, in het kader van de initiatieven die gezamenlijk op Europees niveau werden genomen. De reikwijdte van deze weerstandstest werd in ons land niet beperkt tot extreme natuurfenomenen, maar werd uitgebreid tot mogelijke bedreigingen die het gevolg zijn van menselijk handelen, al of niet kwaadwillig, waaronder een cyberaanval.

De kwetsbaarheid van de kerncentrales van Doel en Tihange voor een cyberaanval werd door de exploitant geanalyseerd en vervolgens door het FANC en Bel V geëvalueerd op zijn betrouwbaarheid. Een samenvatting van de resultaten werd begin 2012 bekend gemaakt op de website van het FANC (http://www.fanc.fgov.be/nl/news/stresstests-nationaal-verslag-over-de-door-de-mens-veroorzaakte-gebeurtenissen/479.aspx).

De exploitant heeft de risico’s nagegaan die verbonden zijn met vier types van computeraanvallen:

- een externe aanval van buiten het computernetwerk van het bedrijf;

- een aanval buiten site, via het computernetwerk van het bedrijf;

- een aanval op de site, via het computernetwerk van de centrale;

- een aanval op de site door de rechtstreekse fysieke toegang tot de computers en systemen op de netwerken van de centrale.

De exploitant heeft vervolgens de mogelijkheid onderzocht van een eventueel verlies van de controle over de centrale door de operator, rekening houdend met de bestaande veiligheidssystemen.

Volgens de evaluatie van de exploitant kan een cyberaanval niet leiden tot een verlies van de veiligheidsfuncties van de Belgische kerncentrales omdat:

- de besturings- en beschermingssystemen van de reactoren noch met het computernetwerk van de centrale, noch met dat van het bedrijf verbonden zijn;

- de bijna-totaliteit van de besturings- en beschermingssystemen van de reactoren gebruik maakt van een ‘analoge’ technologie (dus niet digitaal) via kabels die niet kwetsbaar is voor cyberaanvallen;

- er maatregelen (met inbegrip van de fysieke beveiliging) voorzien zijn om de informaticasystemen die de veiligheidsfuncties ondersteunen, te beschermen.

- een verbeteringsprogramma werd ingevoerd om het beveiligingsniveau te verhogen.

De evaluatie door het FANC en Bel V bevestigen deze conclusies. Een van de bijkomende aandachtspunten die door hen werd geïdentificeerd voor nadere opvolging in de toekomst betreft de kwetsbaarheid van de industriële systemen van het type SCADA (Supervisory Control and Data Acquisition), die toeneemt door het opduiken van nieuwe malware die ontwikkeld wordt om zulke systemen aan te vallen. De kwetsbaarheid van deze SCADA protocollen voor het verzamelen, doorsturen, verwerken en visualiseren van meet- en regelsignalen, vormt eveneens het onderwerp van de studie waarnaar u verwijst.

Het FANC heeft geen kennis van incidenten waarbij Belgische kerncentrales het slachtoffer zouden zijn geweest van cybercriminelen.

De Belgische veiligheidsautoriteiten zijn zich bewust van het feit dat kerncentrales een mogelijk doelwit kunnen zijn van cyberaanvallen. Dit blijkt onder meer uit de volgende elementen:

a) België heeft het initiatief genomen om het toepassingsgebied van de weerstandstesten van 2011 uit te breiden tot het risico van een cyberaanval.

b) In het nationaal rapport over deze stresstests wordt gesteld dat cyberrisico’s van nabij dienen te worden gevolgd, omdat:

- De kwetsbaarheid/het risico toeneemt naarmate de informaticatechnologie van de installaties verder moderniseert.

- De kwetsbaarheid/het risico toeneemt naarmate meer beroep wordt gedaan op onderaanneming voor het uitvoeren van werken. Dit risico wordt gedeeltelijk beheerd door de oppuntstelling van interne normen voor de omkadering van de externe intervenanten.

- De kwetsbaarheid van de industriële systemen van het type SCADA (Supervisory Control and Data Acquisition) verhoogt met het opduiken van nieuwe malware die ontwikkeld wordt om zulke systemen aan te vallen.

c) België beschikt over een specifieke regelgeving inzake de fysieke beveiliging van nucleaire installaties en inzake de beveiliging van geclassificeerde en gecategoriseerde informatie, onder andere van toepassing op de fysieke beveiligingsmaatregelen waarmee kerncentrales worden beschermd. (KB’s van 17 oktober 2011). Deze regelgeving is een noodzakelijke bouwsteen voor een effectief beleid inzake cyberbeveiliging.

d) De doelstelling bestaat om in 2014 een specifieke “Design Basis Threat” (DBT) inzake cyberdreigingen uit te werken. Een DBT is een geclassificeerd document waarin mogelijke generieke dreigingsactoren worden beschreven met onder andere een beschrijving van hun motivatie, intentie, mogelijkheden en modus operandi. Het opstellen van deze DBT is een interactief proces tussen het FANC en andere betrokken overheidsdiensten en waaraan ook ICT-experten deelnemen. Dit is een materie die snel evolueert en zowel internationaal als nationaal dienen de nodige initiatieven verder ontwikkeld te worden om te weerstaan aan deze dreiging. Vandaar dat ook het FANC verdere initiatieven neemt in lijn met de huidige ontwikkelingen op internationaal vlak.

e) België volgt daarom ook de verschillende werkgroepen binnen het Internationaal Atoomagentschap (IAEA) die specifieke aanbevelingen uitwerken voor de cyberbeveiliging binnen de nucleaire sector. Cybersecurity zal in de komende jaren meer en meer op de agenda staan van diverse internationale conferenties met betrekking tot de nucleaire beveiliging.

f) België onderhoudt contacten met buitenlandse bevoegde overheden om in de mate van het mogelijke informatie uit te wisselen.

Zoals reeds gesteld is een van de aandachtspunten uit de stresstesten van 2011 dat in de toekomst nader zal opgevolgd worden, de kwetsbaarheid van de industriële SCADA systemen (Supervisory Control and Data Acquisition). De kwetsbaarheid neemt toe met de verdere modernisering van IT installaties van de kerncentrales, de toenemende onderaanneming in de ICT sector en het opduiken van nieuwe malware die specifiek ontwikkeld wordt om deze SCADA systemen aan te vallen. Dit soort van risico’s maakt deel uit van de cyber-DBT voor de nucleaire sector.

Het verzekeren van de fysieke beveiliging van een nucleaire installatie zoals een kerncentrale, behoort in de allereerste plaats tot de verantwoordelijkheid van de exploitant (KB van 17 oktober 2011 betreffende de fysieke beveiliging van het kernmateriaal en de nucleaire installaties). Het Federaal Agentschap voor Nucleaire Controle (FANC) ziet toe op de naleving door de exploitanten van de regelgeving op zowel de veiligheid als de beveiliging van deze installaties.