SÉNAT DE BELGIQUE BELGISCHE SENAAT
________________
Session 2010-2011 Zitting 2010-2011
________________
27 janvier 2011 27 januari 2011
________________
Question écrite n° 5-895 Schriftelijke vraag nr. 5-895

de Anke Van dermeersch (Vlaams Belang)

van Anke Van dermeersch (Vlaams Belang)

à la ministre de l'Intérieur

aan de minister van Binnenlandse Zaken
________________
Cybercriminalité - Situation en Belgique - Cyberdéfense Cybercriminaliteit - Stand van zaken in België - Cyber defence 
________________
Internet
criminalité informatique
protection des données
protection des communications
internet
computercriminaliteit
gegevensbescherming
telefoon- en briefgeheim
________ ________
27/1/2011Verzending vraag
23/3/2011Antwoord
27/1/2011Verzending vraag
23/3/2011Antwoord
________ ________
Aussi posée à : question écrite 5-893
Aussi posée à : question écrite 5-894
Aussi posée à : question écrite 5-893
Aussi posée à : question écrite 5-894
________ ________
Question n° 5-895 du 27 janvier 2011 : (Question posée en néerlandais) Vraag nr. 5-895 d.d. 27 januari 2011 : (Vraag gesteld in het Nederlands)

L'internet a permis à des « cybergroupes » malfaisants de communiquer entre eux sans difficultés et dans un anonymat relatif, en étant distants de seulement quelques dizaines de millisecondes. Cela a et aura à l'avenir un impact particulier sur la société. Des identités et réseaux virtuels se créent entre individus qui ne se rencontreront même jamais personnellement, et dont, a fortiori, ils ignorent la véritable identité. Avec ses milliards d'habitants, le monde virtuel dispose d'un grand potentiel pour influencer ou diriger l'opinion publique mondiale, dans une mesure telle qu'il devient plus puissant qu'un petit pays de quelques millions d'habitants.

Les « Black hat »-hackers et d'autres figures malfaisantes qui hantent l'internet disposent d'un vaste arsenal de possibilités et de techniques pour mener une attaque contre notre société fortement numérisée et ils ont montré, par le passé, qu'ils étaient capables de causer de graves problèmes à un petit pays ou un pays moyen, ou du moins, de les mettre dans l'embarras.

Nous avons donc instamment besoin d'un plan de « cyberdéfense » équilibré qui doit nous permettre de disposer de capacités de base pour mettre en œuvre un plan de sécurité adapté, efficace et flexible dans le monde virtuel et ce, afin de nous prémunir contre des conséquences extrêmement négatives dans le monde réel.

Je souhaiterais obtenir une réponse aux questions suivantes :

1) Je souhaiterais obtenir un aperçu des cyberattaques dont notre appareil étatique a été l'objet en 2010.

2) Le ministre a-t-il connaissance des cyberattaques menées contre des infrastructures critiques de notre pays, par exemple les centrales nucléaires ou la direction de l'aviation ? J'aimerais obtenir un aperçu des cyberattaques menées contre ces infrastructures en 2010.

3) Les menaces de cyberattaques contre l'appareil étatique ou les infrastructures critiques font-elles l'objet d'une analyse ?

4) La mise à jour des systèmes de protection et de détection d'intrusion existants fait-elle l'objet d'une analyse ?

5) Comment classifie-t-on une cyberattaque menée contre une infrastructure militaire dans notre pays ? Est-elle assimilée à une agression armée ?

6) Existe-t-il dans notre pays un plan de « cyberdéfense » contre une attaque coordonnée contre l'infrastructure d'un pays ?

7) La France, le Royaume-Uni et les États-Unis disposent d'ores et déjà tous d'une cyberautorité responsable de leur « cyberdéfense ». Le ministre a-t-il des projets dans ce sens ?

 

Het internet heeft het mogelijk gemaakt dat malafide cybergroeperingen probleemloos relatief anoniem met elkaar kunnen communiceren en slechts enkele tientallen milliseconden van elkaar verwijderd zijn. Dit heeft en zal in de toekomst nog een bijzondere impact hebben op de maatschappij. Virtuele identiteiten en netwerken ontstaan tussen individuen die elkaar zelfs nooit persoonlijk zullen ontmoeten, laat staan dat ze elkaars echte identiteit kennen. De virtuele wereld heeft met haar miljarden inwoners een groot potentieel om de mondiale publieke opinie te beïnvloeden of te sturen, zelfs in die mate dat ze machtiger is dan een klein land met een paar miljoen inwoners.

" Black hat "-hackers en andere malafide figuren die op het internet rondwaren beschikken over een uitgebreid arsenaal aan mogelijkheden en technieken om een aanval op onze sterk gedigitaliseerde maatschappij uit te voeren en toonden in het verleden al aan dat zij in staat zijn om een klein tot middelgroot land ernstige problemen te bezorgen of minstens in verlegenheid te brengen.

Er is dus dringend nood aan een evenwichtig " cyber defence "-plan, dat er voor moet zorgen dat we over de basiscapaciteiten beschikken om een aangepaste, efficiënte en flexibele veiligheidsplanning uit te bouwen in de virtuele wereld om zeer vergaande negatieve gevolgen in de realiteit te voorkomen.

Graag kreeg ik een antwoord op de volgende vragen:

1) Graag kreeg ik een overzicht van de cyberaanvallen op ons overheidsapparaat in 2010.

2) Is de geachte minister op de hoogte van de cyberaanvallen die uitgevoerd worden op kritische infrastructuur in ons land, zoals de kerncentrales of de luchtvaartleiding, …? Graag kreeg ik een overzicht van de cyberaanvallen op zulke infrastructuur in 2010.

3) Wordt er onderzoek verricht naar dreigingen van cyberaanvallen op het overheidsapparaat of kritische infrastructuur?

4) Wordt er onderzoek verricht naar het up-to-date houden van de bestaande beschermings- en intrusiedetectietechnieken?

5) Hoe wordt een cyberaanval op militaire infrastructuur geclassificeerd in ons land? Is dit gelijk aan een gewapende aanval?

6) Bestaat er in ons land een " cyber defence "-plan tegen een gecoördineerde aanval op de infrastructuur van het land?

7) Frankrijk, het Verenigd Koninkrijk en de Verenigde Staten hebben momenteel reeds een cyberautoriteit die verantwoordelijk is voor de " cyber defence " van deze staten. Heeft de geachte minister plannen in die richting?

 
Réponse reçue le 23 mars 2011 : Antwoord ontvangen op 23 maart 2011 :

L’honorable membre trouvera ci-après la réponse à ses questions.

1. Je n’ai pas connaissance de cyber-attaques de grande ampleur qui auraient été dirigées contre les réseaux informatiques et sites de l’autorité fédérale en 2010.

Il convient de préciser que depuis ce qui est arrivé en 2007 en Estonie (cyber-attaques massives - par le biais de botnets - dirigées contre les sites gouvernementaux et vitaux estoniens), plusieurs mesures de prévention, détection et de réponse à de telles attaques ont été prises en Belgique.

Ainsi, l’Institut Belge des services postaux et des télécommunications (IBPT) et le Service public fédéral (SPF) Technologie de l’Information et de la Communication (Fedict) ont mis sur pied une « CERT » nationale (Computer emergency response team).

Il s’agit d’un service public qui est chargé de fournir des informations en matière de sécurité informatique et qui constitue le point de contact belge pour faire face aux menaces contre la sécurité d’internet et les vulnérabilités affectant les intérêts belges.

Pour plus d’informations sur ce sujet, je vous renvoie donc à mon collègue pour l’Entreprise et la Simplification, ministre de tutelle de l’IBPT et de Fedict.

2. Je n’ai pas connaissance d’attaques informatiques qui auraient été dirigées contre de telles infrastructures en 2010.

3. Il convient de préciser qu’un projet de loi concernant les infrastructures critiques vient d’être approuvé par le Conseil des ministres en deuxième lecture.

Ce projet de loi transpose, entre autres, la Directive européenne « EPCIP » (European Programme for Critical Infrastructure Protection) du 8 décembre 2008.

En vertu du projet de loi mentionné ci-dessus, l’exploitant d’une infrastructure qui aura été désignée comme critique aura non seulement l’obligation de nommer un point de contact pour la sécurité, mais également d’élaborer un P.S.E. (plan de sécurité de l’exploitant) visant à prévenir, atténuer et neutraliser les risques d’interruption du fonctionnement ou de destruction de son infrastructure par la mise au point de mesures matérielles et organisationnelles internes.

Ainsi, le P.S.E. devra au moins comprendre:

1° des mesures internes de sécurité permanentes, applicables en toutes circonstances;

2° des mesures internes de sécurité graduelles à appliquer en fonction de la menace, qui sera évaluée par l’OCAM (Organe de coordination de l’analyse et de la menace) et ce, à la demande du Centre de crise ou d’office par l’OCAM lui- même.

Bien entendu, ces mesures peuvent être aussi bien physiques que spécifiques à l’infrastructure ICT de l’infrastructure visée.

4. À l’heure actuelle chaque service public fédéral assure la sécurité de son propre réseau informatique, avec la possibilité de faire appel aux services spécialisés tels que Fedict, CERT.be, CERT de la Défense et la FCCU.

5. La réponse à cette question relève de la compétence de mon collègue de la Défense.

6. En 2005, la plateforme de concertation sur la sécurité de l’information (Belnis) a été mise sur pied, sous la présidence du ministre en charge de l'informatisation de l'État, son secrétariat étant, quant à lui, assuré par Fedict. La plateforme regroupe mensuellement les différentes institutions actives en matière de sécurité de l’information dans le but d’élaborer des recommandations sur divers sujets relatifs à cette problématique.

Un des groupes de travail de cette plateforme a précisément pour mission d’optimaliser les procédures d’alerte et de réaction en cas d’incident ICT en Belgique.

Par ailleurs, la Belgique a participé à un tout premier exercice paneuropéen de cyber-sécurité organisé par la Commission européenne et qui s’est déroulé le 4 novembre 2010.

7. La plateforme Belnis rédige actuellement une note destinée au futur formateur sur les priorités de la politique nationale de sécurité. Parmi les propositions formulées, figure notamment celle de réaliser une étude sur la question.

Het geachte lid vindt hieronder het antwoord op haar vragen.

1. Ik heb geen kennis van cyberaanvallen van grote omvang die in 2010 gericht zouden zijn geweest tegen de computernetwerken en websites van de federale overheid.

Wel kan worden gepreciseerd dat sedert de gebeurtenissen in 2007 in Estland (massale cyberaanvallen - door middel van botnets - die gericht waren tegen Estse overheidswebsites en andere vitale Estse websites), verschillende maatregelen genomen zijn voor de preventie en detectie van en de respons op dergelijke aanvallen in België.

Daartoe hebben het Belgisch Instituut voor Postdiensten en Telecommunicatie (BIPT) en de Federale Overheidsdienst (FOD) Informatie- en Communicatietechnologie (Fedict) een CERT opgezet (Computer Emergency Response Team).

Het gaat om een openbare dienst die belast is met het verschaffen van informatie op het vlak van informatieveiligheid en die het Belgische contactpunt vormt om het hoofd te bieden aan bedreigingen tegen de internetveiligheid en de kwetsbaarheden die de Belgische belangen treffen.

Voor meer informatie hierover verwijs ik u dus naar mijn collega voor Ondernemen en Vereenvoudigen, die de voogdijminister is van het BIPT en van Fedict.

2. Ik heb geen kennis van computeraanvallen die in 2010 tegen dergelijke infrastructuur gericht zouden zijn geweest.

3. Op dit punt kan ik preciseren dat zopas een wetsontwerp betreffende de kritieke infrastructuren in tweede lezing is goedgekeurd door de ministerraad.

Met dit wetsontwerp wordt onder andere de Europese richtlijn ‘EPCIP’ (European Programme for Critical Infrastructure Protection) van 8 december 2008 omgezet.

Krachtens dit wetsontwerp moet de exploitant van een infrastructuur die als kritiek zal zijn aangeduid niet alleen een beveiligingscontactpunt instellen, maar ook een B.P.E (beveiligingsplan van de exploitant) uitwerken, om de risico’s op verstoring van de werking of van de vernietiging van zijn infrastructuur te voorkomen, te beperken en te neutraliseren, door het op punt stellen van interne materiële en organisatorische maatregelen.

Zo zal het B.P.E. minstens moeten bevatten:

1° permanente interne beveiligingsmaatregelen, toepasbaar in alle omstandigheden;

2° graduele interne beveiligingsmaatregelen, toe te passen in functie van de dreiging, die geëvalueerd zal worden door het OCAD (Coördinatieorgaan voor de dreigingsanalyse) en dit op vraag van het Crisiscentrum of ambtshalve door het OCAD zelf.

Voor een goed begrip: deze maatregelen kunnen zowel fysiek zijn als gerelateerd aan de ICT-infrastructuur van de beoogde infrastructuur.

4. Momenteel staat elke federale overheidsdienst in voor de veiligheid van zijn eigen computernetwerk, met de mogelijkheid beroep te doen op gespecialiseerde diensten, zoals Fedict, CERT.be, CERT van Defensie en de FCCU.

5. Het antwoord op deze vraag valt onder de bevoegdheid van mijn collega van Defensie.

6. In 2005 is het overlegplatform voor de informatieveiligheid (Belnis) ingesteld, voorgezeten door de minister belast met de Informatisering van de Staat, en waarbij Fedict het secretariaat verzekert. In het platform komen maandelijks de verschillende instellingen bijeen die actief zijn op het vlak van informatieveiligheid, om aanbevelingen uit te werken over verschillende onderwerpen in verband met deze problematiek.

Eén van de werkgroepen van dit platform heeft precies als opdracht de alarmerings- en reactieprocedures te optimaliseren bij een ICT-incident in België.

Daarnaast heeft België deelgenomen aan een allereerste paneuropese oefening voor cyberveiligheid, georganiseerd door de Europese Commissie en die plaatsgevonden heeft op 4 november 2010.

7. Het Belnis-platform stelt momenteel een nota op voor de toekomstige formateur over de prioriteiten van het nationaal veiligheidsbeleid. Onder de geformuleerde voorstellen staat onder meer het verwezenlijken van een studie over deze kwestie vermeld.