|
|
Cyberattaques - Acteurs étatiques - Vie privée - Cybersécurité - Chiffres et tendances
guerre de l'information
université
protection des communications
espionnage industriel
sécurité des systèmes d'information
| 2/6/2022 | Envoi question (Fin du délai de réponse: 7/7/2022) |
| 7/7/2022 | Réponse |
Aussi posée à : question écrite 7-1651
Aussi posée à : question écrite 7-1652
Dernièrement, la Seconde Chambre des Pays-Bas a organisé une audition relative à la loi sur les services de renseignement et de sécurité. Il y a notamment été question de la sécurité numérique aux Pays-Bas, laquelle représente, depuis plusieurs années, une part de plus en plus grande des activités des services de sécurité (cf. https://www.scienceguide.nl/2021/06/aivd hoger onderwijs is zich totaal niet bewust van digitale dreiging/).
Selon le responsable du Service général de renseignement et de sécurité des Pays-Bas, la menace provient surtout de pays comme la Russie et la Chine. Cette dernière puissance cherche principalement à s'emparer de connaissances précieuses. «Nous voyons que les attaques sont parfois dirigées contre des intérêts militaires et politiques. Elles sont alors surtout le fait des services de renseignement et de sécurité russes. Mais elles visent aussi à obtenir des positions économiques dominantes ; la Chine entre autres est très active dans ce domaine.»
Il cite par ailleurs les secteurs de pointe néerlandais, dans lesquels les entreprises et les établissements d'enseignement collaborent au sein de l'enseignement professionnel supérieur et de l'enseignement scientifique. «Il suffit d'observer les secteurs de pointe des Pays-Bas pour savoir à peu près ce que recherchent les services de sécurité chinois. Notre modèle économique de revenus et notre sécurité sont donc vraiment en danger», ajoute-t-il.
La Belgique est confrontée au même problème : il y a quelque temps, la haute école VIVES a été une des victimes de cyberattaques (cf. https://www.vrt.be/vrtnws/nl/2022/04/12/cyberaanval hogeschool vives/), et un peu plus tard, c'est une attaque générale sous forme de «Distributed Denial of Service» (DDOS) contre BELNET qui a paralysé l'internet des hautes écoles (cf. https://itdaily.be/nieuws/security/ddos aanval op belnet haalt internet hoger onderwijs onderuit/ ).
En ce qui concerne le caractère transversal de la question écrite : les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2022-2025 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. Cette question concerne dès lors une matière transversale, partagée entre l'autorité fédérale et les Régions, ces dernières intervenant surtout dans le volet préventif.
Je souhaiterais donc poser les questions suivantes.
1) Pouvez-vous donner un aperçu du nombre d'universités et de hautes écoles qui ont été victimes d'une cyberattaque ? Quel a été leur nombre au cours des cinq dernières années ? De quel type d'attaque s'agissait-il (DDOS, attaque par logiciel rançonneur, etc.) ? À combien le préjudice financier total est-il estimé ? Dans combien de cas des données ont-elles été capturées ?
2) A-t-on déjà eu des signes indiquant qu'en matière de protection numérique, le secteur de l'enseignement est en retard sur d'autres secteurs ? Si oui, qui a envoyé ces signes et quelle suite leur a-t-on donnée ?
3) De quel pays la plupart des attaques contre nos établissements d'enseignement proviennent-elles ? Combien d'attaques de ce type sont lancées depuis la Belgique ? Quelles sont les méthodes les plus utilisées ? Dans quel but ces attaques sont-elles lancées ? Ces attaques suivent-elles certains schémas ?
4) Outre les attaques par logiciel rançonneur, à quel autre type d'attaques a-t-on encore eu affaire dans l'enseignement ? Comment y a-t-on réagi ? Les auteurs de ces attaques ont-ils été pris ? Si oui, quelles peines leur a-t-on infligées ?
5) Que comptent faire nos autorités pour rendre nos infrastructures numériques, en particulier nos universités et hautes écoles, plus résistantes aux attaques organisées ? Où en est-on à cet égard ? Qu'est-il encore prévu ? Les actions concernent-elles essentiellement le logiciel ou bien est-il également question du matériel, à remplacer ou à rénover ? Pourquoi ?
6) Reconnaissez-vous qu'à côté de la menace d'attaques par logiciel rançonneur, il existe une menace émanant d'acteurs étatiques qui se livrent à de l'espionnage – visant entre autres à obtenir des connaissances dans le domaine des technologies de pointe et des informations – et à des sabotages ? Si oui, quelles actions ciblées allez-vous entreprendre en réaction aux signes invitant les administrations à être plus attentives à leur sécurité numérique ? Si non, pour quelle raison ?
7) Admettez-vous que les activités des acteurs étatiques doivent faire l'objet d'une plus grande attention dans la protection (numérique) de nos centres d'expertise ? Si oui, comment allez-vous procéder concrètement en collaboration avec les universités, les hautes écoles et les services de sécurité ? Quelles sont les mesures en chantier ? Si non, pour quelle raison ?
1) Le Centre for Cybersecurity Belgium (CCB) m’informe qu’il ne dispose pas d’une image complète du nombre de cyberincidents dans les universités et les hautes écoles. Ces organisations ne sont pas tenues de faire rapport en vertu de la législation NIS (la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique).
2) Le CCB ne dispose pas, non plus, d’indicateurs spécifiques pour le secteur de l’éducation. Par conséquent, il est difficile d’estimer si le secteur dans son ensemble est à la traîne par rapport aux autres secteurs du gouvernement.
3) L’attribution d’une cyberattaque est très complexe et difficile. Il est souvent impossible de déterminer de quel pays ou de quelle zone provient une attaque. Les techniques utilisées, telles que les botnets, font appel à des systèmes compromis qui, à leur tour, exécutent les attaques. Ainsi, une attaque réalisée à partir d’un appareil belge peut être parfaitement contrôlée depuis un opérateur situé à l’étranger.
4) Sur base des éléments à disposition, les établissements d’enseignement supérieur sont aussi régulièrement victimes d’attaques DDoS. Une attaque DDoS ou attaque par déni de service distribué (Distributed Denial of Service) tente de mettre hors service un serveur en le surchargeant d’un très grand nombre de demandes. Le serveur est incapable de traiter cette demande importante et le site web ou l’application devient indisponible pendant un certain temps, jusqu’à ce que l’attaque cesse ou soit atténuée.
Pendant la pandémie de Covid, les écoles étaient plus que jamais dépendantes des plateformes d’apprentissage numériques (telles que Smartschool) et de leurs propres réseaux pour garantir la continuité de l’enseignement. Au cours de cette période, des attaques DDoS ont aussi parfois été signalées contre des écoles secondaires, lancées par les étudiants eux-mêmes dans le but d’entraver l’enseignement à distance. Les auteurs de ces attaques ont parfois pu être identifiés.
Suite à ces attaques, CERT.be, le service opérationnel du CCB, a développé un conseil pour les écoles: https://www.cert.be/sites/default/files/ddos_nl_final.pdf.
5) Chaque organisation est responsable de sa propre cybersécurité. L’État belge au travers du CCB joue un rôle de coordination et peut fournir un soutien sous forme d’informations, d’outils et de conseils aux organisations qui le souhaitent, y compris les universités et les collèges. Ainsi des lignes directrices spécifiquement destinées aux institutions publiques (BSG – Baseline Security Guidelines) qui fournissent des indications minimales pour la mise en œuvre et l’évaluation d’un plan de sécurité de l’information ont été élaborées. Afin de rendre les institutions publiques plus résistantes aux attaques, le CCB propose aussi une gamme de services de cybersécurité tels que des formations et des tests pen, auxquels les universités et les collèges peuvent avoir recours. Le CCB dispose également d’un système d’alerte précoce (early warning system – EWS), grâce auquel les organisations d’importance vitale (notamment le potentiel scientifique et économique de notre pays) reçoivent des alertes précoces et ciblées sur les principales vulnérabilités et menaces.
Le CCB prévoit d’offrir plusieurs de ces services d’alerte à toutes les organisations de notre pays dès la fin de cette année, via un nouveau portail.
En ce qui concerne les mesures futures, on peut citer la future directive européenne NIS2 sur les mesures pour un niveau commun élevé de cybersécurité dans l’Union, dont le texte est encore en cours de finalisation et devra être transposé au niveau belge. Cette directive élargira les règles existantes pour les fournisseurs de services essentiels (AED) et les fournisseurs de services numériques. La directive exigera des États membres qu’ils imposent des règles relatives aux mesures de sécurité et à la notification des incidents à tous les organismes de recherche importants, moyens et essentiels. Dans le cadre européen, ces obligations ne s’appliquent pas aux établissements d’enseignement mais aux organisations menant des recherches appliquées. Toutefois, les États membres peuvent eux-mêmes imposer ces obligations à tous les établissements d’enseignement supérieur s’ils le souhaitent.
6) Dans la stratégie nationale de cybersécurité pour 2021-2025, la Belgique identifie les services militaires et de renseignement étrangers comme l’une des plus grandes menaces pour l’État et la population belges, aux côtés des cybercriminels, des groupes terroristes et des hacktivistes. Ces menaces sont prises au sérieux et sont suivies de près par la Sureté de l’État (VSSE).
Lorsqu’une agence gouvernementale signale un cyberincident à CERT.be, des conseils sont donnés sur la manière de le traiter et les mesures à prendre.
7) Les établissements d’enseignement sont des acteurs très importants. Si ces établissement sont inclus dans le futur NIS2, ils pourront faire appel aux services du CCB tels que l’EWS. En outre, le CCB poursuit le développement de son système d’alerte pour avertir les petits opérateurs économiques des vulnérabilités, en plus des fournisseurs de services essentiels.