|
|
Federale overheid - Datalekken - Cijfers - Klachten - Juridische procedure - Preventie - Kosten - Maatregelen
gegevensbescherming
computerpiraterij
computercriminaliteit
Gegevensbeschermingsautoriteit
ministerie
onderzoeksorganisme
instelling van openbaar nut
| 28/10/2014 | Verzending vraag (Einde van de antwoordtermijn: 27/11/2014) |
| 27/11/2014 | Antwoord |
Ook gesteld aan : schriftelijke vraag 6-19
Ook gesteld aan : schriftelijke vraag 6-20
Ook gesteld aan : schriftelijke vraag 6-21
Ook gesteld aan : schriftelijke vraag 6-23
Ook gesteld aan : schriftelijke vraag 6-24
Ook gesteld aan : schriftelijke vraag 6-25
Ook gesteld aan : schriftelijke vraag 6-26
Ook gesteld aan : schriftelijke vraag 6-27
Ook gesteld aan : schriftelijke vraag 6-28
Ook gesteld aan : schriftelijke vraag 6-29
Ook gesteld aan : schriftelijke vraag 6-30
Ook gesteld aan : schriftelijke vraag 6-31
Ook gesteld aan : schriftelijke vraag 6-32
Ook gesteld aan : schriftelijke vraag 6-33
Ook gesteld aan : schriftelijke vraag 6-34
Ook gesteld aan : schriftelijke vraag 6-35
Ook gesteld aan : schriftelijke vraag 6-36
Een praktijkvoorbeeld van een datalek in België dat nog steeds het meest tot de verbeelding spreekt is wellicht dit bij de Nationale Maatschappij der Belgische Spoorwegen (NMBS). Op 29 december 2012 berichtten de media dat private gegevens van ongeveer 1,5 miljoen NMBS-klanten waren gelekt. Het datalek bij de NMBS raakte bekend doordat een internetgebruiker via een zoekopdracht in Google een bestand met persoonlijke gegevens van klanten van NMBS Europe bij toeval « ontdekt » had. Volgend op dit datalek ontving de Privacycommissie ruim duizend zeven honderd klachten over het lekken van persoonlijke gegevens via een website van de NMBS.
De Commissie voor de bescherming van de persoonlijke levenssfeer (CBPL), beter gekend als de Privacycommissie, plaatste op 12 juni 2014 formulieren op haar website. Aan de hand van die formulieren kunnen bedrijven op een eenvoudige en snelle manier een datalek melden. Voor telecombedrijven geldt een meldingsplicht.
Ik heb volgende vragen :
1) Hoe vaak werd er in de periode van 2009 tot heden een aanval gericht op de digitale gegevens of database(s) van de federale of programmatorische overheidsdiensten (FOD of POD), wetenschappelijke instellingen, instellingen van openbaar nut (ION) of instellingen van sociale zekerheid (OISZ) die onder uw bevoegdheid vallen ? Graag kreeg ik per overheidsdienst en -instelling een jaarlijks overzicht.
2) Zijn er FOD's, POD's, wetenschappelijke instellingen, ION's of OISZ's die tussen 2009 en heden te maken hebben gehad met een datalek ? Zo ja, dan kreeg ik graag per betrokken dienst of instelling een overzicht van volgende elementen :
a) het tijdstip en de duur van het datalek ;
b) de omvang van het datalek (hoeveel personen waren hierbij betrokken) ;
c) een omschrijving van de gelekte gegevens ;
d) de oorzaak van het datalek ;
e) de getroffen maatregelen ten gevolge van het datalek ;
f) het aantal klachten die desgevallend werden ingediend per datalek ;
g) het gevolg dat werd gegeven aan de desbetreffende klachten uit deelvraag 2f.
3) Werden er in het kader van de klachten uit deelvraag 2f. juridische stappen ondernomen ? Wat is desgevallend de stand van zaken of wat was het eindresultaat van deze juridische procedure ?
4) Hoeveel bedrijven hebben reeds een gegevenslek via het onlineformulier op de website van de Privacycommissie gemeld ? Hoeveel meldingen waren afkomstig van telecombedrijven ?
5) Welke maatregelen worden er thans genomen ter preventie van datalekken bij de diensten en instellingen die ressorteren onder uw bevoegdheid ?
6) Hoeveel bedragen de jaarlijkse kosten ter preventie van beveiligingsinbreuken, cyberaanvallen of datalekken ? Graag kreeg ik een uitsplitsing per relevante maatregel. Desgevallend graag het bedrag dat er in de periode 2009 tot heden werd geïnvesteerd in software voor security monitoring.
7) Acht u bijkomende maatregelen ter preventie van datalekken opportuun ? Waarom? Om welke bijkomende maatregelen gaat het en welk tijdpad stelt u hierbij voorop ? Waarom niet ?
1) Wij hebben geen weet van een incident met als objectief het verzamelen van gegevens voor de systemen die onder de controle van Fedict vallen.
2) Wij hebben geen weet van een incident met als impact een datalek voor de systemen die onder de controle van Fedict vallen.
a) Deze vraag is niet van toepassing.
b) Deze vraag is niet van toepassing.
c) Deze vraag is niet van toepassing.
d) Deze vraag is niet van toepassing.
e) Deze vraag is niet van toepassing.
f) Deze vraag is niet van toepassing.
g) Deze vraag is niet van toepassing.
3) Deze vraag is niet van toepassing.
4) Deze vraag kan alleen beantwoord worden door de autoriteit die aan het hoofd staat van de Commissie voor de bescherming van de persoonlijke levenssfeer.
5) Wat de diensten betreft die de toegang tot gegevens mogelijk maken: deze worden gecontroleerd op basis van het recht op kennis. De toegang tot de informatie wordt beperkt in functie van de identificatie- en autorisatiegegevens van de personen die gebruik maken van de diensten die ter beschikking gesteld worden zowel van burgers als van de overheid. De verbindingen met de verschillende diensten gebeuren via beveiligde kanalen. Er worden op verschillende niveaus maatregelen getroffen voor de bescherming van gegevens.
Wat de informaticasystemen betreft, wordt de bescherming georganiseerd volgens de aanbevolen praktijken op het vlak van netwerken, databases en infrastructuur in het algemeen.
6) De eisen voor de bescherming van systemen maken integraal deel uit van de bredere eisen voor het aanleveren van oplossingen. Die eisen worden vastgelegd in de overheidsopdrachten van Fedict. Wij beschikken dus niet over een evaluatie van de kosten die rechtstreeks betrekking hebben op de gegevensbescherming in de mate dat die kosten opgenomen zijn in de kosten voor het opzetten van oplossingen.
7) De preventiemaatregelen voor datalekken zijn noodzakelijk. Ze worden enerzijds opgelegd wat de gegevens van de burgers betreft met het oog op het naleven van de voorschriften van de wet inzake de gegevensbescherming en anderzijds, in een meer algemeen kader, om te garanderen dat gevoelige gegevens niet ter beschikking gesteld worden van derden met kwade bedoelingen. Bovendien is het, rekening houdend met de evoluties op het vlak van beveiliging, normaal of zelfs noodzakelijk dat er nieuwe beschermingsmaatregelen opgezet moeten worden en dat er daartoe budgetten vrijgemaakt worden.
In functie van de gevoeligheid van de gegevens die op de overheidssystemen gehost worden en de blootstelling ervan, zullen er verschillende maatregelen getroffen moeten worden. Die maatregelen moeten voortkomen uit de risicoanalyse die de dreigingen, de mogelijke invloeden evalueert en die het mogelijk maakt om de relevante beschermingsmaatregelen te definiëren in functie van die elementen, maar ook in functie van de kosten voor het opzetten van die beschermingsmiddelen.