Attaques et délinquance informatiques - Protection informatique - Computer Emergency Response Team (CERT) - Politique fédérale
criminalité informatique
protection des données
Comités permanents de contrôle des services de police et de renseignements
Institut belge des services postaux et des télécommunications
28/12/2011 | Envoi question |
15/1/2013 | Requalification |
Réintroduction de : question écrite 5-3121
Requalifiée en : demande d'explications 5-2922
La veille du sommet européen du 22 mars 2011, la Commission européenne et le Service européen pour l'action extérieure (SEAE) ont été touchés pour une cyberattaque, jugée particulièrement grave car elle visait spécialement des directions générales et des fonctionnaires de la Commission européenne.
Dès 2009, la Direction de la Sécurité de la Commission avait établi un plan d'action contre les cyberattaques. Les États membre y étaient priés de créer à l'horizon 2012 un Computer Emergency Response Team capable de détecter les logiciels malveillants. En Belgique, le Computer Emergency Response Team (CERT) est actif depuis 2010 et on s'affaire actuellement à le rendre progressivement opérationnel.
Afin de protéger les systèmes informatiques, il faudrait désigner dans chaque département de l'administration fédérale un conseiller à la coordination de la sécurité informatique. Cette désignation prendrait la forme d'une réorganisation interne, avec l'appui du Service public fédéral Technologie de l'information et de la communication (Fedict).
Le CERT remplit sa mission en collaboration et en concertation avec d'autres instances, telles l'IBPT, les Computer Crime Units, le Service public fédéral (SPF) Justice et la Défense. La collaboration entre ces acteurs devait cependant encore être formalisée lors d'un tour de table précédent Un groupe de travail pour la gestion des incidents serait en train d'élaborer une proposition réglant la coopération entre les divers intervenants fédéraux.
Début avril, le ministre a signé avec ses homologues néerlandais et luxembourgeois un accord par lequel les CERT des trois pays aspirent à développer le Honeyspider Network. Ce réseau peut scanner une multitude de pages web et y détecter des programmes malveillants. Les CERT du Benelux veulent élaborer de concert un projet pilote.
Le Comité R a publié le 24 août 2011 un rapport sévère à l'égard de la politique fédérale en matière de protection informatique. Il affirme que l'absence d'action fédérale globale en ce domaine rend notre pays particulièrement vulnérable aux attaques contre ses systèmes et ses réseaux d'information vitaux.
Aujourd'hui, plusieurs instances fédérales se préoccupent de sécuriser les systèmes informatiques : l’Autorité nationale de sécurité (ANS), Fedict, le fournisseur d'internet fédéral BelNET et l’Institut belge des services postaux et des télécommunications (IBPT). Toutefois, selon le rapport, aucune d'entre elles ne dispose d'un panorama complet de l'infrastructure critique des systèmes informatiques.
Le Comité R s'inquiète aussi de la gestion du personnel des services de renseignement et de l'insuffisance des moyens qui permettraient d'engager du personnel qualifié.
Enfin, le Comité R observe que la législation belge ne permet de neutraliser des systèmes hostiles étrangers qu'en cas de cyberattaque sur les systèmes de la Défense. Si les attaques visent d'autres SPF ou d'autres infrastructures critiques nationales, on ne peut réagir qu'a posteriori et défensivement, sans pouvoir neutraliser l'assaillant.
Voici mes questions au ministre :
1) Depuis sa création, combien d'incidents cybercriminels le CERT a-t-il signalés à son département ?
- Je souhaite une ventilation des incidents selon les catégories normaux - sérieux - majeurs, avec quelques exemples pour chacune.
- Combien d'incidents examine-t-on actuellement ?
- Combien d'entre eux ont-ils nécessité une enquête interdépartementale ?
- Pour combien d'entre eux l'enquête ne peut-elle pas se poursuivre ? Combien d'incidents a-t-on classés en raison d'une mauvaise transmission de l'information ?
- Les tribunaux ont-ils déjà prononcé des condamnations ? Dans quels dossiers ?
2) Selon les normes de l'Union européenne, les SPF, les services du parlement fédéral et le gouvernement sont-ils adéquatement protégés contre les cyberattaques ? Quelles normes de sécurité observe-t-on et pourquoi ?
3) Existe-t-il un « Disaster Recovery Plan » en guise de position de repli si les systèmes critiques de notre pays étaient victimes d'une cyberattaque ?
4) Le département du ministre a-t-il déjà désigné un conseiller à la coordination de la sécurité informatique ? Quelle est sa mission et à qui rapporte-t-il ?
5) Comment le SPF Justice coordonne-t-il la direction du projet de cyberdéfense ? Depuis que le SPF assume la direction, combien de fois une concertation interdépartementale a-t-elle été organisée ? Respecte-t-on encore les délais prévus ?
6) Comment se passe la collaboration en matière de cyberdéfense avec l'Intérieur, la Défense, Fedict, l'Économie, la Politique scientifique et les Affaires étrangères ? L'a-t-on formalisée pour que le CERT et le SPF Justice puissent réagir en temps utile à un incident ?
7) Quels sont les secteurs prioritaires du projet de cyberdéfense et quels acteurs s'occupent-ils de quels secteurs ?
8) Que peut faire le gouvernement pour réduire la vulnérabilité de notre pays ? Met-on en œuvre une stratégie coordonnée de cyberdéfense?
9) Quel rôle le Comité ministériel du renseignement et de la sécurité joue-t-il dans la coordination du rôle des services de renseignement dans le projet de cyberdéfense ?
10) Le Comité R s'inquiète de la gestion du personnel des services de renseignement et de l'insuffisance des moyens qui permettraient d'engager du personnel qualifié. Le département de la Justice est-il confronté au même problème ?
11) Le département du ministre partage-t-il le souci d'augmenter les possibilités de neutraliser les cyberattaques, au lieu de ne pouvoir réagir qu'a posteriori et défensivement ?
12) Combien de fois des documents du SPF Justice ont-ils été volés à la suite d'une cyberattaque ? Quand cela s'est-il produit, de quels documents s 'agissait-il et quel était leur niveau de sensibilité ? Quelles mesures a-t-on prises ?
13) Quelles infrastructures, identifiées par le SPF Justice comme critiques et sensibles, sont-elles privilégiées en matière de cyberdéfense ?
14) Comment se passe la collaboration avec les CERT des Pays-Bas et du Grand-Duché de Luxembourg dans le cadre du Honeyspider Network ? Quelle sera la durée du projet et combien coûtera-t-il ? Combien de personnes y affecte-t-on ? La collaboration est-elle conduite par le SPF Justice ou par le SPF compétent pour le CERT ?