L-Sec (Leaders in Security) est une organisation à profit social qui œuvre à la sécurité digitale en Belgique. Son rapport annuel signale bon nombre d'incidents et de problèmes survenus en 2010. On en retient que les pirates sont actifs, mais aussi que CERT.be, l'organisme public qui se soucie depuis l'an dernier des menaces sur internet, intervient très efficacement. En 2010, CERT.be a constaté 2 135 incidents, dont 976 sérieux. Il s'agissait principalement de tentatives de vol de comptes et d'infections de réseaux. L'efficacité de CERT.be ressort notamment du classement de la Belgique dans la " liste d'insécurité " du spécialiste américain Arbor Networks. On observe une évolution d'une peu glorieuse quatrième position vers une place entre la trentième et la quarantième, autrement dit une nette amélioration.

Le rôle du piratage informatique est crucial dans cette problématique. Le nombre de sites piratés s'est élevé à 16 134 en 2010, et encore ne compte t on que les mentions spontanées des pirates. Il s'agit pour eux d'une question d'honneur. Ce sont surtout les serveurs Linux qui résistent difficilement au piratage.

Je souhaiterais une réponse aux questions suivantes :

1) Le ministre confirme t il ces chiffres et ces constatations ? Trouve t il le fonctionnement de CERT.be suffisamment sûr et efficace ? Cet acteur dispose t il d'assez de moyens pour remplir la mission qu'on attend de lui ?

2) Quel est pour le moment le principal défi en matière de sécurisation digitale ? Comment le relève t on, et quelles sont les prévisions du ministre ?

3) Combien de tentatives de piratage et de piratages effectifs de sites d'organismes publics a t on enregistrés en 2009 et en 2010 ?

4) Certains organismes ou services publics travaillent ils avec un serveur Linux ? Si oui, ces serveurs sont ils adéquatement sécurisés ?

1.

Les statistiques concernant Cert.be correspondent effectivement aux incidents communiqués à Cert.be en 2010. Le Cert ne peut confirmer ou infirmer les autres informations communiquées par les auteurs eux-mêmes.

Le Cert traite les incidents qui lui sont rapportés de manière efficace compte tenu de l’effectif affecté à cette mission. Le Cert à été lancé en lui attribuant un certain nombre de missions et avec pour objectif de démontrer son utilité dans le contexte ICT belge. Dans le cadre de la couverture des activités dévolues usuellement à une CSIRT (Computer Security Incident Respons Team), un plan d’évolution de Cert.be a été défini. Actuellement, cinq collaborateurs sont directement affectés aux activités de réponse aux incidents par Cert.be. Le plan de capacité de Cert.be prévoit de disposer d’une capacité de réponse aux incidents de dix collaborateurs pour la mi-2012. En regard des capacités affectées dans les pays limitrophes et compte tenu de l’évolution de l’activité de Cert.be, cette capacité pourrait devoir être revue à la hausse. Le besoin de capacité est suivi par les responsables de Cert.be, qui émettront en tant utile les recommandations en la matière afin de pouvoir continuer à offrir un service efficient.

2.

En ce qui concerne le principal défi en matière de sécurité, le groupe de travail Belnis a rédigé en 2007 un Whitepaper reprenant un ensemble de propositions qui doivent permettre d’améliorer l’approche de protection des systèmes ICT en Belgique.

Si on se limite à la réaction aux incidents, les éléments suivants sont essentiels pour pouvoir garantir à terme l’efficience de notre capacité de réponse :

- définir un cadre légal instituant Cert.be et lui confiant ses missions. À ce jour, Cert.be à été institué sur la base des articles 113 et suivants de la loi sur les télécommunications du 13 juin 2005;

- Cert.be accomplit sa mission en collaboration et en concertation avec d’autres organes, tels que l’IBPT, les Computer Crime Units, le parquet fédéral, le collège des procureurs, le Cert Défense… Cette collaboration doit être formalisée et les différentes responsabilités et obligations assignées. Un groupe de travail « Gestion des incidents » élabore actuellement une proposition avec la collaboration des différents intervenants intéressés par cette problématique. Les différentes recommandations émanant de ce groupe de travail devront être transposées dans la réglementation et intégrées opérationnellement.

3.

À ce jour, aucune obligation de rapport d’incident n’est définie en Belgique, que ce soit pour l’administration ou pour le secteur privé. Les rapports d’incident sont communiqués à Cert.be sur une base volontaire. Nous ne disposons dès lors pas d’informations exhaustives nous permettant de répondre de manière fiable à cette demande.

4.

Certaines institutions utilisent effectivement des serveurs Linux. La plateforme Linux n’est pas intrinsèquement plus risquée que d’autres types de plateformes ; elle est par ailleurs très répandue. Lors de la mise en œuvre des différentes solutions existant sur le marché, les bonnes pratiques sont généralement mises en œuvre par les responsables ICT qui en ont la charge. La sécurité « à 100 % » n’existant pas en informatique, Cert.be publie régulièrement des avis et des recommandations par rapport à des failles importantes de certains logiciels.