SÉNAT DE BELGIQUE BELGISCHE SENAAT
________________
Session 2016-2017 Zitting 2016-2017
________________
15 décembre 2016 15 december 2016
________________
Question écrite n° 6-1193 Schriftelijke vraag nr. 6-1193

de Jean-Jacques De Gucht (Open Vld)

van Jean-Jacques De Gucht (Open Vld)

au secrétaire d'État à la Lutte contre la fraude sociale, à la Protection de la vie privée et à la Mer du Nord, adjoint à la ministre des Affaires sociales et de la Santé publique

aan de staatssecretaris voor Bestrijding van de sociale fraude, Privacy en Noordzee, toegevoegd aan de minister van Sociale Zaken en Volksgezondheid
________________
Sites internet des pouvoirs publics - Sécurité des communications - Fuites - Amélioration de la sécurité - Mesures Overheidswebsites - Veilige communicatie - Lekken - Verbetering van de veiligheid - Maatregelen 
________________
Internet
criminalité informatique
protection des données
Pays-Bas
ministère
administration publique
site internet
internet
computercriminaliteit
gegevensbescherming
Nederland
ministerie
overheidsadministratie
internetsite
________ ________
15/12/2016 Verzending vraag
(Einde van de antwoordtermijn: 19/1/2017 )
18/1/2017 Antwoord
15/12/2016 Verzending vraag
(Einde van de antwoordtermijn: 19/1/2017 )
18/1/2017 Antwoord
________ ________
Aussi posée à : question écrite 6-1176
Aussi posée à : question écrite 6-1177
Aussi posée à : question écrite 6-1178
Aussi posée à : question écrite 6-1179
Aussi posée à : question écrite 6-1180
Aussi posée à : question écrite 6-1181
Aussi posée à : question écrite 6-1182
Aussi posée à : question écrite 6-1183
Aussi posée à : question écrite 6-1184
Aussi posée à : question écrite 6-1185
Aussi posée à : question écrite 6-1186
Aussi posée à : question écrite 6-1187
Aussi posée à : question écrite 6-1188
Aussi posée à : question écrite 6-1189
Aussi posée à : question écrite 6-1190
Aussi posée à : question écrite 6-1191
Aussi posée à : question écrite 6-1192
Aussi posée à : question écrite 6-1176
Aussi posée à : question écrite 6-1177
Aussi posée à : question écrite 6-1178
Aussi posée à : question écrite 6-1179
Aussi posée à : question écrite 6-1180
Aussi posée à : question écrite 6-1181
Aussi posée à : question écrite 6-1182
Aussi posée à : question écrite 6-1183
Aussi posée à : question écrite 6-1184
Aussi posée à : question écrite 6-1185
Aussi posée à : question écrite 6-1186
Aussi posée à : question écrite 6-1187
Aussi posée à : question écrite 6-1188
Aussi posée à : question écrite 6-1189
Aussi posée à : question écrite 6-1190
Aussi posée à : question écrite 6-1191
Aussi posée à : question écrite 6-1192
________ ________
Question n° 6-1193 du 15 décembre 2016 : (Question posée en néerlandais) Vraag nr. 6-1193 d.d. 15 december 2016 : (Vraag gesteld in het Nederlands)

Les connexions vers de nombreux sites internet des pouvoirs publics néerlandais ne sont pas bien sécurisées. C'est ce qui ressort de l'étude réalisée par l'Open State Foundation, une organisation non lucrative qui « veut augmenter la transparence en politique ». On peut reconnaître une connexion sécurisée au petit cadenas qui apparaît dans le moteur de recherche.

L'organisation a examiné 1.816 sites internet des pouvoirs publics ; seuls 44 % d'entre eux ont des connexions sécurisées. 6 % ont effectivement une connexion sécurisée mais ne l'ont pas bien configurée, ce qui laisse la porte ouverte à des piratages.

La connexion vers le site internet de la Rijksrecherche n'est pas sécurisée. Cette section de la police néerlandaise mène des enquêtes sur les manquements commis par des fonctionnaires publics, notamment des collaborateurs de police. Jusqu'à la fin du mois de novembre 2016, quiconque dénonçait un manquement sur le site de la Rijksrecherche courait toutefois le risque que son message soit lu par d'autres personnes. Cela pouvait par exemple se faire par des bornes wifi publiques, comme dans le train, dans un hôtel ou dans un restaurant : la connexion était alors facile à intercepter.

Après que le site d'information néerlandais NOS a signalé la chose, le formulaire de dénonciation a été enlevé du site. Un porte-parole a fait savoir qu'il n'était temporairement plus possible de signaler des abus. Les citoyens qui ont des informations à communiquer peuvent encore téléphoner. On examine si des mesures de suivi sont nécessaires.

Même la page d'accueil du site internet de l'administration fiscale n'a pas de connexion sécurisée. L'accès au site de l'administration fiscale est bien sécurisé mais comme la page d'accueil ne l'est pas, un hacker peut forcer une connexion non sécurisée. Cela peut par exemple se faire en créant une fausse borne wifi dans une gare ou un autre endroit très fréquenté.

Ironie de la situation : la connexion du site officiel qui est censé promouvoir une administration consciente des dangers d'internet, n'est pas bien sécurisée.

L'étude concernait les pages d'accueil des sites internet publics ; il est possible que certaines parties des sites soient mieux sécurisées. Les experts en sécurité informatique conseillent toutefois de prévoir une connexion sécurisée pour l'ensemble du site internet. On peut reconnaître les sites non sécurisés à l'absence de cadenas dans le moteur de recherche.

De même, certains sites internet d'ambassades néerlandaises dans des pays où les droits fondamentaux de l'homme sont violés, ne sont pas sécurisés avec une connexion https en bon état de marche.

Une étude menée antérieurement sur les sites des pouvoirs publics dans notre pays a révélé des défauts similaires. Fedict, le service public fédéral Technologie de l'Information et de la Communication, a réagi en indiquant qu'il allait exécuter plus rapidement les mesures prévues pour améliorer le cryptage SSL.

Quant au caractère transversal de la question : les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2016-2019 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. La criminalité informatique est l'une des grandes priorités établies. Cette question concerne dès lors une compétence régionale transversale, les Régions intervenant surtout dans le volet préventif.

C'est pourquoi je souhaite vous poser les questions suivantes :

1) N'y a-t-il aucun risque de sécurité pour les sites internet des services publics fédéraux relevant de vos compétences ainsi que pour vos propres sites ? Pouvez-vous dresser la liste des sites dont vous avez la responsabilité ?

2) N'y a-t-il aucun risque, lorsque des utilisateurs se connectent via des bornes wifi, que l'on puisse lire les messages échangés avec des sites de services publics dont vous avez la responsabilité ? Pouvez-vous détailler votre réponse ?

3) Est-il vrai que parmi les sites internet des services publics qui utilisent effectivement une connexion https, il y en a encore un certain nombre qui sont configurés de telle sorte qu'ils présentent également un risque de sécurité ?

4) Pouvez-vous énumérer les sites officiels relevant spécifiquement de vos compétences en y incluant les sites des services publics fédéraux relevant de vos compétences et les sites des services extérieurs ?

5) Les mesures annoncées par le passé pour améliorer le cryptage SSL ont-elles effectivement été réalisées par Fedict sur tous les sites relevant de vos compétences ? Pouvez-vous fournir des explications concrètes à ce sujet ?

6) Pouvez-vous garantir qu'aucun des sites relevant de vos compétences ne travaille plus avec SSL-3 ? Le cas échéant, pouvez-vous expliquer votre réponse ?

7) Pouvez-vous énumérer concrètement les mesures qui ont déjà été prises depuis que l'étude réalisée sur les sites des services publics belges a mis en lumière certains défauts, en vue de sécuriser la connexion avec les sites internet des services publics ?

 

De verbindingen naar veel Nederlandse overheidswebsites zijn niet goed beveiligd. Dat blijkt uit onderzoek van de Open State Foundation, een non-profitorganisatie die « transparantie in de politiek wil vergroten ». Een beveiligde verbinding is te herkennen aan een slotje in de browser.

De organisatie onderzocht 1 816 overheidswebsites ; slechts 44 % daarvan ondersteunt beveiligde verbindingen. Nog eens 6 % heeft wel een beveiligde verbinding, maar heeft hem niet goed ingesteld, waardoor aanvallers alsnog een kans hebben.

Onder meer de verbinding naar de website van de Rijksrecherche is onbeveiligd. Die politie-organisatie doet onderzoek naar misdragingen door overheidsfunctionarissen, waaronder politiemedewerkers. Wie een misstand melde op de site van de Rijksrecherche, liep tot woensdagavond echter het risico dat anderen meelazen. Dat kon bijvoorbeeld bij openbare wifi-hotspots, zoals in de trein, in een hotel of restaurant : de verbinding was dan eenvoudig te onderscheppen.

Na melding van de NOS is dat formulier verwijderd van de site. « Het is tijdelijk niet meer mogelijk om misstanden te melden », laat een woordvoerder weten. Burgers met tips kunnen nog wel bellen. Er wordt onderzocht of « vervolgmaatregelen » nodig zijn.

Ook de voorpagina van de website van de Belastingdienst heeft geen beveiligde verbinding. Het inloggen op de Belastingdienst-site is wel beveiligd, maar doordat de voorpagina dat niet is, kan een hacker een onveilige verbinding afdwingen. Dat kan bijvoorbeeld door een valse wifi-hotspot op te zetten op een station of een andere drukke plek.

Ironisch genoeg is ook de verbinding van de overheidssite die is bedoeld om een « internetbewuste overheid » te promoten niet goed beveiligd.

Het onderzoek betrof de voorpagina's van de overheidssites ; het is mogelijk dat bepaalde onderdelen van de websites beter zijn beveiligd. Beveiligingsexperts raden echter aan om sowieso de volledige website van een veilige verbinding te voorzien. De onbeveiligde sites zijn te herkennen aan het ontbreken van een slotje in de browser.

Ook zijn er een aantal websites van Nederlandse ambassades in landen waar bassale mensenrechten worden geschonden die niet beveiligd zijn met een goed functionerende https-verbinding.

Eerder onderzoek naar de overheidssites in ons land toonde gelijkaardige zwakheden aan. In een reactie stelde Fedict, de federale overheidsdienst Informatie- en Communicatietechnologie, dat het reeds geplande maatregelen om de SSL-encryptie te verbeteren nu versneld zal uitvoeren.

Wat betreft transversaal karakter van de vraag : de verschillende regeringen en schakels in de veiligheidsketen zijn het eens over de fenomenen die de komende vier jaar prioritair moeten worden aangepakt. Die staan gedefinieerd in de kadernota Integrale Veiligheid en het Nationaal Veiligheidsplan voor de periode 2016–2019, en werden besproken tijdens een Interministeriële Conferentie, waarop ook de politionele en justitiële spelers aanwezig waren. Eén van de vastgelegde prioriteiten is de informaticacriminaliteit. Het betreft aldus een transversale gewestaangelegenheid waarbij de rol van de Gewesten vooral ligt in het preventieve luik.

Daarom heb ik volgende vragen voor u :

1) Zijn er geen veiligheidsrisico's voor de websites van de federale overheidsdiensten waarvoor u bevoegd bent, alsook uw eigen sites ? Kunt u de sites waarvoor u instaat oplijsten ?

2) Is er geen risico dat, bij het inloggen van gebruikers via wifi-hotspots, dat de communicatie met de overheidssites waarvoor u instaat kan worden ingelezen ? Kan u dit toelichten ?

3) Is het waar dat van de overheidswebsites die wel een https-verbinding gebruiken er ook nog een aantal websites zijn die zodanig zijn ingesteld dat er ook daar een beveiligingsrisico bestaat ?

4) Kunt u oplijsten voor welke overheidssites u specifiek bevoegd bent en dit inclusief de sites van de federale overheidsdiensten waarvoor u bevoegd bent en de sites van de buitendiensten ?

5) Werden de eerder aangekondigde maatregelen om de SSL-encryptie te verbeteren daadwerkelijk doorgevoerd door Fedict op alle sites waarvoor u bevoegd bent ? Kunt u dit concreet toelichten ?

6) Kunt u garanderen dat geen enkele site waarvoor u bevoegd bent nog werkt met SSL-3 ? Kunt u dit desgevallend toelichten ?

7) Kunt u concreet oplijsten welke maatregelen reeds zijn genomen sinds het onderzoek naar de Belgische overheidssites enkele zwakheden oplijstte om aldus een veilige verbinding met overheidswebsites tot stand te brengen ?

 
Réponse reçue le 18 janvier 2017 : Antwoord ontvangen op 18 januari 2017 :

En ce qui concerne mes domaines de compétence, je ne dispose pas de services publics fédéraux relevant exclusivement de ma compétence. Je me réfèrerai donc à la réponse donnée par les ministres compétents en la matière, auxquels vous avez posé la même question.

De par ma compétence en matière de protection de la vie privée, j’attache évidemment une grande importance à la sécurité des sites Internet des services publics et, en particulier, à celle des données à caractère personnel traitées sur ces sites Internet. Les départements qui gèrent de tels sites Internet peuvent être considérés comme responsables de traitement ou comme sous-traitants au sens de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. Dans cette optique, ils sont tenus de prendre une série de mesures techniques et organisationnelles afin de garantir la sécurité des données à caractère personnel.

Le règlement européen 2016/679 relatif à la protection des données, approuvé précédemment dans l’année, explicite quelles peuvent être ces obligations. Il s’agit notamment de la pseudonymisation et l’encryption des données à caractère personnel ; des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constante des systèmes ; des moyens permettant de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident et des procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles, afin de sécuriser le traitement. De plus, la mise en œuvre dépend de l’état de la technologie, des coûts de mise en œuvre, et de la nature, du contexte et de l’objectif du traitement, ainsi que des droits et libertés de personnes physiques.

Conformément à ce règlement européen, je travaille d’ailleurs à un nouveau cadre législatif en matière de protection de la vie privée, qui doit être prêt en mai 2018. J’y consacrerai d’ailleurs une attention particulière aux règles de protection de la vie privée pour le secteur public, d’une part, et au renforcement de la Commission vie privée, d’autre part. Je suis également d’avis que le secteur public, tout comme le secteur privé, doit pouvoir être soumis à un contrôle par la Commission de la protection de la vie privée et que cette Commission, si elle constate des infractions à la législation relative à la protection de la vie privée, doit pouvoir prendre des mesures et des sanctions. Le règlement européen laisse aux États membres la liberté d’octroyer ou non cette compétence à l’autorité de surveillance et je suis favorable à cette disposition. Je suis convaincu qu’à la lumière de la future législation relative à la protection de la vie privée, tous les départements investiront encore davantage dans la protection des données à caractère personnel qu’ils traitent d’ailleurs dans l’intérêt général et je les soutiendrai dans cette démarche. Dans cette optique, je travaille à un réseau de data protection officers qui assisteront les départements en vue d’atteindre les standards prévus par le règlement européen.

Je renvoie également à mon appel à mieux s’armer en Belgique contre les attaques extérieures et à considérer davantage la cybercriminalité comme une priorité, afin de mieux protéger les données des citoyens présentes dans les banques de données des pouvoirs publics. Car la menace est réelle. Je participerai prochainement à une réunion avec le Centre pour la cybersécurité et le premier ministre, le Centre relevant de sa compétence, afin de nous attaquer à cette question de sécurité qu’est la cybersécurité.

Sans confiance et sans sécurité, un marché numérique n’est pas possible. La Belgique, tout comme l’Europe, doit être en mesure de contrer les cyberattaques qui deviennent de plus en plus pernicieuses, se moquant pas mal des frontières. Nous devons collaborer plus étroitement avec les autres pays et partager nos expertises.

Wat betreft mijn beleidsdomeinen beschik ik niet over federale overheidsdiensten die exclusief onder mijn bevoegdheid vallen. Ik verwijs daarom naar het antwoord dat wordt gegeven door de bevoegde ministers ter zake aan wie u dezelfde vraag heeft gesteld.

Ik hecht vanuit mijn beleidsbevoegdheid Privacy uiteraard belang aan de veiligheid van overheidswebsites en meer in het bijzonder van de persoonlijke gegevens die op deze websites worden verwerkt. De departementen die dergelijke websites beheren kunnen worden beschouwd als verwerkingsverantwoordelijke of als verwerker in de zin van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. In dat opzicht zijn zij verplicht een aantal technische en organisatorische maatregelen te treffen om de veiligheid van de persoonsgegevens te waarborgen.

De Europese verordening 2016/679 betreffende de gegevensbescherming, die eerder dit jaar werd goedgekeurd, verduidelijkt verder welke deze verplichtingen kunnen zijn. Het gaat onder meer om de pseudonimisering en de versleuteling van persoonsgegevens ; het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen ; het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen en een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking. Bovendien hangt de uitvoering ervan af van de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook voor de rechten en vrijheden van natuurlijke personen.

Ten gevolge van deze Europese verordening werk ik overigens aan een nieuw wetgevend privacykader dat in mei 2018 rond moet zijn. Ik zal daarin bijzondere aandacht besteden aan de privacyregels voor de publieke sector enerzijds en de versterking van de Privacycommissie anderzijds. Ik ben ook de mening toegedaan dat de publieke sector net zoals de privésector onderworpen moet kunnen worden aan een controle door de Commissie ter bescherming van de persoonlijke levenssfeer en dat deze Commissie bij vaststelling van inbreuken op de privacywetgeving maatregelen en sancties moet kunnen opleggen. De Europese verordening laat het aan de Lidstaten over om deze bevoegdheid al dan niet toe te kennen aan de toezichthoudende autoriteit en ik ben hier voorstander van. Ik ben ervan overtuigd dat alle departementen in het licht van de toekomstige privacywetgeving nog meer zullen investeren in de bescherming van de persoonsgegevens die zij ten slotte toch in het algemeen belang verwerken maar ik wil hen daarin ook ondersteunen. In dat opzicht werk ik aan een netwerk van data protection officers die de departementen zullen bijstaan om de standaarden die de Europese verordening voorziet mee te helpen bereiken.

Ik verwijs eveneens naar mijn oproep om zich ook in België beter te wapenen tegen aanvallen van buitenaf en cyberveiligheid meer als een prioriteit beschouwen, om de gegevens van de burgers die bij de overheid in databanken zitten beter te beschermen. Want de dreiging is reëel. Ik zal binnenkort samenzitten met het Centrum voor cybersecurity en de eerste minister, onder wiens bevoegdheid dit Centrum valt, om dit veiligheidsissue – cyberveiligheid – aan te pakken.

Zonder vertrouwen en veiligheid is een digitale markt niet mogelijk. België maar ook Europa moeten in staat zijn om cyberaanvallen te counteren die steeds gewiekster worden, geen rekening houden met grenzen. We moeten nauwer samenwerken met andere landen om expertise te delen.