Dans un rapport récent, l'entreprise américaine Symantec a indiqué que le nombre de cyberattaques ciblées avait augmenté de 42 % en 2012. Ces attaques visent principalement à s'emparer de droits intellectuels et ce sont surtout les petites et moyennes entreprises (PME), les industries et le secteur public qui sont attaqués. Si l'objectif des criminels n'est pas de voler à tout prix les informations de ces entreprises, ces dernières sont utilisées pour permettre aux criminels de s'attaquer à de plus grosses entreprises ou à l'administration et ce, par le biais de la technique du point d'eau. Un cybercriminel implante un agent malicieux dans un site web fréquemment visité par les utilisateurs qu'il veut atteindre. De cette manière, sans se douter de rien, les utilisateurs installent, par exemple, un cheval de Troie ou un logiciel malveillant. Ensuite, le cybercriminel peut s'introduire dans l'ordinateur ou le site web de l'organisation qu'il visait. L'entreprise dont le site web est attaqué n'est donc qu'un intermédiaire ignorant. Il est tout à fait possible que les criminels volent également par la même occasion les données bancaires ou les droits intellectuels des entreprises par exemple . L'objectif n'est donc pas de faire un maximum de victimes mais d'atteindre quelques cibles très spécifiques.

Les entreprises ignorent le rôle qu'elles jouent dans ce processus. Elles pensent que les cybercriminels les laissent tranquilles et s'attaquent plutôt à l'administration ou à des multinationales. Ce n'est donc pas le cas. Aux États-Unis, la première victime ne sont plus les pouvoirs publics mais le secteur industriel. Lorsque des criminels ont besoin de données (par exemple, des données bancaires, des contrats, des données personnelles,...), ils ne s'attaquent pas aux grosses entreprises mieux sécurisées mais à de plus petites qui collaborent étroitement avec elles et disposent donc de nombreuses données à leur sujet. C'est la raison pour laquelle ce ne sont pas les dirigeants de ces entreprises qui sont attaqués mais l'administration qui a accès aux documents.

Je souhaiterais poser au ministre les questions suivantes :

1) Par le passé, des sites web de l'administration fédérale ont-ils déjà été victimes de la technique du point d'eau lors d'infractions dont l'administration était la cible ? Des sites web de l'administration ont-ils déjà été utilisés comme « intermédiaires » ou le ministre a-t-il connaissance de cas où les ordinateurs de l'administration ont été contaminés après avoir visité un site web contaminé ?

2) Dans l'affirmative, la réponse peut-elle être étayée par des chiffres portant sur les cinq dernières années ?

3) Dans la négative, les services chargés de la sécurité de ces sites web sont-ils en mesure de constater des infractions telles que la technique dite du point d'eau ?

4) Est-il très courant au sein de l'administration de limiter le nombre de sites web à visiter ou bien le personnel peut-il couramment visiter à peu près tous les sites ? Le ministre peut-il détailler sa réponse ?

5) Si des restrictions sont imposées, est-ce pour des raisons de cybersécurité ou dans l'intérêt de la productivité ?

6) Est-il courant au sein de l'administration de réinitialiser régulièrement le mot de passe des ordinateurs, ce qui oblige l'utilisateur à en choisir un nouveau ? Les ministres/secrétaires d'État sont-ils partisans de cette pratique ?

7) Lorsque l'on découvre sur un ordinateur de l'administration un cheval de Troie, un logiciel malveillant ... susceptible de révéler des (risques d') infractions, la pratique générale est-elle de créer un nouveau mot de passe pour cet ordinateur ?

1) En ce qui concerne les applications du Service public fédéral Technologie de l'information et de la communication (FEDICT), le service public fédéral Technologie de l'Information et de la Communication, nous n'avons pas connaissance de tels incidents. Divers messages entrants tentent cependant d'inciter les utilisateurs à visiter des sites suspects.

Computer Emergency Response Team (CERT) CERT.be ne peut répondre à cette question pour l’ensemble des sites webs fédéraux, car il ne dispose pas de statistiques complètes à cet égard. Les services publics ne sont en effet pas tenus de signaler à CERT.be les attaques sur leurs infrastructures.

2) Cette question ne s’applique pas.

3) Une sécurisation et une détection ne sont jamais infaillibles. Fedict ne peut donc pas exclure qu'il ait été un jour victime ou intermédiaire. Tant concernant la sécurisation que la détection, diverses mesures ont été prises dans le cadre de la configuration des serveurs :

1. Systèmes de relais de messagerie électronique qui isolent et bloquent les mails douteux

2. Systèmes de prévention des intrusions pour toutes les applications de Fedict

3. Pare-feu d'applications web qui nous protègent mieux contre les applications malveillantes

4. Les applications sont protégées par une chaîne de proxies inverses, qui constituent une couche de sécurisation complémentaire pour certains types d'attaques.

5. Les applications ne peuvent jamais communiquer avec des systèmes (non déclarés) sur Internet.

6. Les applications sont périodiquement scannées afin de détecter d'éventuelles vulnérabilités.

Les vulnérabilités provenant du client (PC et clics humains) ouvrent généralement des fenêtres à partir desquelles les infrastructures serveurs sont attaquées.

4 et 5) Chaque service public fédéral peut décider de manière autonome d'élaborer et d'appliquer une stratégie de sécurité. Dans le large éventail de domaines de stratégie de sécurité et de cybersécurité en particulier, limiter l'accès à certains sites web constitue l'une des possibilités. La productivité des collaborateurs relève plutôt des compétences des services d'encadrement Personnel et Organisation qui, pour les sujets liés aux technologies de l'information, peuvent engager le dialogue avec les services d'encadrement ICT respectifs.

6) L'authentification des utilisateurs est une partie essentielle d'une politique de sécurité intégrée. Si l'on fait usage d'un identifiant et d'un mot de passe, il est indiqué de modifier périodiquement ce mot de passe, mais de manière judicieuse. Dans le cas contraire, d'autres risques de sécurité apparaîtraient, notamment dus au fait de noter le mot de passe. Dans le cadre de la politique de sécurité générale de chaque service public fédéral, il est dès lors très important de régulièrement conscientiser le personnel sur les risques en la matière.

7) Les logiciels antivirus signalent toute contamination connue au responsable du helpdesk et aux spécialistes de l'équipe ICT. Le PC contaminé est retiré du réseau et est traité de manière appropriée en fonction de la nature de la contamination. Lorsque des logiciels malveillants sont découverts, c'est même l'ensemble du réseau qui doit être considéré comme infecté. La création d'un nouveau mot de passe ne constitue qu'une petite partie d'un ensemble d'actions coordonnées au niveau du réseau. Créer uniquement un nouveau mot de passe ne suffit absolument pas.