La veille du sommet européen du 22 mars 2011, la Commission européenne et le Service européen pour l'action extérieure (SEAE) ont été les victimes d'une cyberattaque, jugée particulièrement grave car elle visait spécifiquement certaines directions générales et certains fonctionnaires de la Commission européenne.

Dès 2009, la Direction de la Sécurité de la Commission a établi un plan d'action contre les cyberattaques. Les États membre y étaient priés de créer d'ici 2012 un Computer Emergency Response Team (CERT) capable de détecter les logiciels malveillants. En Belgique, le CERT est actif depuis 2010 et on s'affaire actuellement à le rendre progressivement opérationnel.

La création du CERT s'articule en quatre phases. En septembre 2009, on a commencé à installer l'infrastructure critique, laquelle a été élargie au grand public en janvier 2010. Nous sommes actuellement dans la troisième phase, qui voit l'extension des heures d'ouverture (juillet 2011).

Selon vous, le CERT remplit sa mission en collaboration et en concertation avec d'autres instances, telles l'Institut belge des services postaux et des télécommunications (IBPT), les Computer Crime Units, les SPF Justice et Défense. Cette collaboration doit cependant encore être formalisée. Un groupe de travail pour la gestion des incidents serait en train d'élaborer une proposition réglant la coopération entre les divers intervenants fédéraux.

Le Comité R a publié le 24 août 2011 un rapport sévère à l'égard de la politique fédérale en matière de protection informatique. Il affirme que l'absence d'action fédérale globale en ce domaine rend notre pays particulièrement vulnérable aux attaques contre ses systèmes et réseaux d'information vitaux.

Aujourd'hui, plusieurs instances fédérales se préoccupent de sécuriser les systèmes informatiques : l’Autorité nationale de sécurité (ANS), le SPF Technologie de l'information et de la communication (Fedict), le fournisseur d'internet fédéral BelNET et l’IBPT. Toutefois, selon le rapport, aucune d'entre elles ne dispose d'un panorama complet de l'infrastructure critique des systèmes informatiques.

Le Comité R s'inquiète aussi de la gestion du personnel des services de renseignement et de l'insuffisance de moyens permettant d'engager du personnel qualifié.

Enfin, le Comité R observe que la législation belge ne permet de neutraliser des systèmes hostiles étrangers qu'en cas de cyberattaque sur les systèmes de la Défense. Si les attaques visent d'autres SPF ou d'autres infrastructures critiques nationales, on ne peut réagir qu'a posteriori et défensivement, sans pouvoir neutraliser l'assaillant.

Voici mes questions au ministre :

1. Depuis sa création, combien d'incidents cybercriminels ont-ils été signalés au CERT ?

a. Combien d'incidents examine-t-on actuellement ? Combien d'entre eux nécessitent-ils une enquête interdépartementale ?

b. Dans combien de cas le CERT a-t-il dénoncé des actes de cyberdélinquance à d'autres autorités, et lesquelles (tant nationales qu'étrangères) ?

c. Pour combien d'entre eux l'enquête est-elle clôturée et le dossier a-t-il été transmis à la Justice ?

d. Pour combien d'entre eux l'enquête ne peut-elle pas se poursuivre ? Combien d'incidents a-t-on classés en raison d'une mauvaise transmission de l'information ?

e. Je souhaite une ventilation des incidents selon les catégories normaux - sérieux - majeurs, avec quelques exemples pour chacune.

2. Comment se déroule l'entrée en action du CERT ?

a. Comment le ministre évalue-t-il la phase 1 (infrastructure critique) et la phase 2 (élargissement au grand public) ?

b. Quelles sont les heures d'ouverture étendues du CERT, annoncées comme phase 3 ?

c. Peut-on affirmer que la notoriété du CERT auprès du public cible est suffisante ?

d. Combien de visites le site a-t-il reçues depuis sa création, et comment ce nombre évolue-t-il ?

e. Quand le CERT sera-t-il totalement opérationnel ? Quel budget (par phase) y a-t-on affecté ?

3. Selon les normes de l'Union européenne, les SPF et les services du parlement fédéral sont-ils suffisamment protégés contre les cyberattaques ? Quelles normes de sécurité observe-t-on et pourquoi ?

4. Existe-t-il un « Disaster Recovery Plan » en guise de plan B si les systèmes critiques de notre pays étaient victimes d'une cyberattaque ?

5. Le département du ministre a-t-il déjà désigné un conseiller à la coordination de la sécurité de l'information ? Quelle est sa mission et à qui fait-il rapport?

6. Comment se déroule la collaboration avec le SPF Justice, lequel coordonne le projet de cyberdéfense ? Est-il logique que ce soit le SPF Justice qui le dirige, et pas le SPF Économie dont dépend le CERT.be ? Constate-t-on des problèmes sur le plan de la coopération et des échanges d'informations ? À quelle fréquence annuelle les représentants du SPF Économie se réunissent-ils avec ceux du SPF Justice pour parler de cyberdéfense ? Est-elle suffisante ?

7. Comment se passe la collaboration en matière de cyberdéfense avec l'Intérieur, Fedict, la Défense, la Politique scientifique et les Affaires étrangères ? A-t-elle été formalisée pour que le CERT et le SPF Justice puissent réagir en temps utile à un incident ?

8. Quels sont les secteurs prioritaires du projet de cyberdéfense et quels acteurs s'occupent-ils de quels secteurs ?

9. Que peut faire le gouvernement pour réduire la vulnérabilité de notre pays ? Met-on en œuvre une stratégie fédérale coordonnée de cyberdéfense ?

10. Le Comité R s'inquiète de la gestion du personnel des services de renseignement et de l'insuffisance de moyens permettant d'engager du personnel qualifié. Le département du ministre est-il confronté au même problème ?

11. Faut-il augmenter les possibilités de neutraliser les cyberattaques, au lieu de ne pouvoir réagir qu'a posteriori et défensivement ?

12. Combien de fois des documents du SPF Économie ont-ils été volés à la suite d'une cyberattaque ? Quand cela s'est-il produit, de quels documents s 'agissait-il et quel était leur niveau de sensibilité ? Quelles mesures a-t-on prises ?

13. Quelles infrastructures, identifiées par le SPF Économie comme critiques et sensibles, sont-elles privilégiées en matière de cyberdéfense ?

L’honorable membre trouvera ci-après la réponse à sa question.

1. Les chiffres de septembre 2009 à mai 2013 :

(*) Rapport d’incident : une notification d’incident faite par une tierce partie ou par un membre même du CERT.be. Chaque message électronique envoyé à l’adresse [email protected] est considéré comme un rapport d’incident à introduire dans le système.

(**) Incident : un incident de sécurité confirmé. Après vérification pour savoir s’il s’agit d’une notification légitime d’incident concernant le public cible, celui-ci redirigé vers « incident » dans l’outil utilisé par CERT.be. Il n’existe pas de relation stricte 1-1 entre un rapport d’incident et un incident. En effet, un incident légitime n’est pas toujours contenu dans chaque notification ; à l’inverse, une seule et même notification peut parfois renvoyer à plusieurs incidents et enquêtes.

(***) Enquêtes: lorsqu’un incident implique plusieurs parties, l’outil permet d’établir plusieurs enquêtes à ce propos.

1. a) CERT.be n’a pas de mandat pour mener systématiquement des enquêtes interdépartementales.

1. b) CERT.be a dénoncé des actes de cyber délinquance uniquement aux autorités nationales, en particulier à la Police fédérale belge, Federal Computer Crime Unit (FCCU). Les contacts avec l’extérieur se font par les CERT étrangers, et CERT.be ne dispose pas de chiffres précis à ce sujet.

1. c) CERT.be ne transmet pas un incident directement à la Justice. Il encourage toujours les victimes à déposer une plainte auprès de la police.

1. d) CERT.be ne dispose pas de chiffres spécifiques pour cette catégorie d’incidents.

1. Pendant les cinq premiers mois de 2013, il y a eu 2 412 rapports d’incident, soit 482 par mois, et 1 981 incidents, soit 287 par mois, à savoir :

• 23 % d’incidents de numérisation (comme par exemple des incidents qui apparaissent lorsque les bases de données sont scannées et testées par des tiers dans le but de découvrir les points faibles du système).

• 16 % d’incidents en rapport avec les systèmes (comme par exemple les serveurs web infectés).

• 24,5 % d’incidents d’hameçonnage (comme par exemple des sites contrefaits belges et étrangers quand ceux-ci sont hébergés en Belgique).

• 9,5 % d’incidents concernant des graves épidémies de vers et de virus (comme par exemple un réseau d’entreprise infecté soudainement par un virus).

• 9 % d’incidents relatifs au spam (comme par exemple l’envoi, de manière non délibérée, de spam par des systèmes ou des personnes).

• 1 % d’incidents liés aux comptes (comme par exemple la tentative d’acquérir des données à partir d’un compte pour d’autres comptes, tels que les comptes d’entreprise, e-mail,..).

• 4,5 % d’incidents mentionnant des vulnérabilités (comme par exemple les hackers au chapeau blanc qui découvrent et font connaître certaines vulnérabilités dans les systèmes, dans les serveurs, dans les sites,…).

• 1,5 % d’incidents d’attaques par déni de service (comme par exemple la paralysie d’un site web ou d’un service par une attaque sur les serveurs par un botnet notamment).

• 1 % d’incidents/questions, thèmes/issues, à propos de la sécurité sur internet (comme par exemple les questions posées par des entreprises ou des organisations pour mieux faire face à des incidents particuliers).

• 10 % d’autres incidents qui ne sont non repris dans les catégories précédentes.

2. CERT.be s’est mis progressivement en place comme prévu.

2. a) Avec un succès mitigé. Un des problème réside dans le fait qu’il n’existe pas de définition communément admise de ce que l’on considère comme une infrastructure critique. CERT.be travaille à l’heure actuelle sur un site web à destination du grand public.

2.b) CERT.be assure une permanence de services les jours ouvrables entre 9 et 17 heures. En dehors de ces heures, l’assistance se fait sur une base volontaire et selon la disponibilité.

2. c) Sa réputation suit une ligne ascendante, surtout depuis l’intérêt médiatique suscité autour du CERT.be à l’occasion à l’occasion du lancement du site www.dns-ok.be : le visiteur pouvait s’assurer que son ordinateur n’était pas infecté par le virus DNS-Changer

2. d) En 2013, il y a eu 1 479 visiteurs en janvier, 2 367 en février, 3 733 en mars, 2 144 en avril et 2428 en mai.

2. e) Selon le plan initial, CERT.be devrait disposer aujourd’hui de onze collaborateurs (ETP). En raison des difficultés à recruter et à maintenir un personnel qualifié, CERT.be ne dispose aujourd’hui que de sept ETP.

3. à 9. : -

10. Cf. 2. e).

11. Ceci ne relève pas des missions du CERT.be.

12 et 13 : -