Un exemple concret, des plus éloquents, de fuite de données en Belgique est peut-être celui portant sur la Société nationale des chemins de fer belges (SNCB). Le 29 décembre 2012, les médias ont fait état d'une fuite de données privées concernant environ 1,5 million de clients de la SNCB. Cela a été révélé par un internaute qui avait « découvert » par hasard un fichier contenant des données personnelles de clients de la SNCB Europe. À la suite de cette fuite de données, la Commission de protection de la vie privée a reçu plus de mille sept cents plaintes sur la fuite de données personnelles par le biais d'un site web de la SNCB.

La Commission de protection de la vie privée (CPVP), mieux connue sous le nom de Commission vie privée, a mis en place, le 12 juin 2014, sur son site web des formulaires grâce auxquels les entreprises peuvent notifier, simplement et rapidement, une fuite de données. Les entreprises de télécommunications sont soumises à une obligation de notification.

Je souhaite poser les questions suivantes :

1) De 2009 à ce jour, combien de fois des attaques ont-elles été dirigées sur les données numériques ou bases de données des services publiques fédéraux ou de programmation (SPF ou SPP), établissements scientifiques, organismes d'intérêt public (OIP) ou institutions publiques de sécurité sociale (IPSS) relevant de votre compétence ? Je souhaiterais obtenir un aperçu annuel par service et organisme public.

2) Certains SPF, SPP, OIP ou IPSS ont-ils été confrontés à une fuite de données entre 2009 et ce jour ? Dans l'affirmative, je souhaiterais obtenir un aperçu, par service concerné, des éléments suivants :

a) le moment auquel la fuite de données s'est produite et sa durée ;

b) l'ampleur de la fuite de données (sur combien de personnes elle a porté)

c) une description des données concernées ;

d) la cause de la fuite de données ;

e) les mesures prises à la suite de la fuite de données ;

f) le nombre de plaintes qui ont été déposées, le cas échéant, par fuite de données ;

g) la suite qui a été réservée aux plaintes visées à la sous-question 2f.

3) Des démarches juridiques ont-elles été entreprises dans le cadre des plaintes visées à la sous-question 2f ? Le cas échéant, quel est l'état de la question ou quel a été le résultat de cette procédure juridique ?

4) Combien d'entreprises ont-elles déjà signalé une fuite de données au moyen du formulaire en ligne mis en place sur le site web de la Commission vie privée ? Combien de notifications provenaient-elles d'entreprises de télécommunications ?

5) Quelles mesures sont-elles actuellement prises afin de prévenir les fuites de données au niveau des services et organismes relevant de votre compétence ?

6) À combien s'élèvent les coûts annuels de prévention des violations de la sécurité, cyberattaques ou fuites de données ? Je souhaiterais une ventilation par mesure pertinente. Le cas échéant, j'aimerais connaître le montant qui a été investi de 2009 à ce jour dans des logiciels de contrôle de sécurité.

7) Estimez-vous opportun de prendre des mesures supplémentaires de prévention des fuites de données ? Pourquoi ? De quelles mesures supplémentaires s'agit-il et quel calendrier prévoyez-vous ? Dans la négative, pourquoi ?

1) Aucune attaque orientée spécifiquement sur nos bases de données n’a été relevée depuis 2009. Toutefois, la pression de la cybercriminalité et les attaques sur l’infrastructure de l’lCT Shared Services des services publics fédéraux horizontaux sont quotidiennes. Ainsi, des actions pour maintenir le niveau de protection doivent régulièrement être prises.

Une plainte a été déposée auprès du procureur fédéral le 18 octobre 2013 pour une attaque de notre infrastructure en août 2012 et en octobre 2013.

2) et 3) Il n’y a pas eu de perte de données personnelles depuis 2009.

4) La question relève des compétences du secrétaire d'État à la Protection de la vie privée, à qui la question a également été posée.

5) L’effort de protection est continu afin d’augmenter dans la limite des budgets disponibles la sécurité des données et des applications. Plusieurs lignes de protections de l’infrastructure sont ainsi constituées afin de garantir la sécurité globale.

En outre, les mesures suivantes ont été prises au sein du ICT Shared Services des services publics fédéraux horizontaux :

• les mises à jours des postes de travail, notamment les patches de sécurité, sont automatisées et la présence d’un software antivirus récent est obligatoire ;

• les différents serveurs sont à jour et sécurisés ;

• les équipements réseaux exposés sont également munis de moyens de protection ;

• les mots de passe pour l’accès aux applications et aux données sont renforcés et utilisent de préférence une authentification forte (deux facteurs) comme moyen d’authentification ;

• la couche stockage des données utilise également des instruments de protection spécifiques ;

• les applications et les données utilisent une infrastructure physique installée dans les datacenters de la Chancellerie et exploité par une équipe interne et des externes dédicacés et habilités ;

• les backups sont réalisés sur bande et sont cryptés ;

• des audits de sécurité et des tests de pénétration sont régulièrement réalisés : ils donnent lieu à des plans de remédiation ou d’amélioration.

6) et 7) Il m’apparait opportun, pour des raisons de sécurité et afin de ne pas affaiblir nos protections, de ne pas rendre public le détail des moyens mis en œuvre ou qui seront mis en œuvre prochainement afin de garantir la sécurité du système et des données.

En matière de cybersécurité, l’accord de gouvernement définit trois objectifs stratégiques :

a. la Belgique visera un cyberespace sûr et fiable qui respecte les valeurs et droits fondamentaux de la société moderne ;

b. la Belgique visera une sécurisation et une protection optimales des infrastructures et systèmes publics critiques contre la cybermenace ;

c. la Belgique désire développer ses propres capacités en cybersécurité.

L’idée est d’opérationnaliser la stratégie qui a été décidée durant la précédente législature – stratégie générale qu’il s’agit de traduire en objectifs concrets.

Enfin, une attention prioritaire sera portée à la poursuite de l’opérationnalisation du Centre pour la cybersécurité Belgique. Dans la mesure où nous préparons un dossier avec des estimations précises des crédits nécessaires pour la mise en place du Centre cybersécurité Belgique (personnel, fonctionnement, investissement, etc.), le centre sera opérationnel dans le courant de 2015.