Un exemple concret, des plus éloquents, de fuite de données en Belgique est peut-être celui portant sur la Société nationale des chemins de fer belges (SNCB). Le 29 décembre 2012, les médias ont fait état d'une fuite de données privées concernant environ 1,5 million de clients de la SNCB. Cela a été révélé par un internaute qui avait « découvert » par hasard un fichier contenant des données personnelles de clients de la SNCB Europe. À la suite de cette fuite de données, la Commission de protection de la vie privée a reçu plus de mille sept cents plaintes sur la fuite de données personnelles par le biais d'un site web de la SNCB.

La Commission de protection de la vie privée (CPVP), mieux connue sous le nom de Commission vie privée, a mis en place, le 12 juin 2014, sur son site web des formulaires grâce auxquels les entreprises peuvent notifier, simplement et rapidement, une fuite de données. Les entreprises de télécommunications sont soumises à une obligation de notification.

Je souhaite poser les questions suivantes :

1) De 2009 à ce jour, combien de fois des attaques ont-elles été dirigées sur les données numériques ou bases de données des services publiques fédéraux ou de programmation (SPF ou SPP), établissements scientifiques, organismes d'intérêt public (OIP) ou institutions publiques de sécurité sociale (IPSS) relevant de votre compétence ? Je souhaiterais obtenir un aperçu annuel par service et organisme public.

2) Certains SPF, SPP, OIP ou IPSS ont-ils été confrontés à une fuite de données entre 2009 et ce jour ? Dans l'affirmative, je souhaiterais obtenir un aperçu, par service concerné, des éléments suivants :

a) le moment auquel la fuite de données s'est produite et sa durée ;

b) l'ampleur de la fuite de données (sur combien de personnes elle a porté)

c) une description des données concernées ;

d) la cause de la fuite de données ;

e) les mesures prises à la suite de la fuite de données ;

f) le nombre de plaintes qui ont été déposées, le cas échéant, par fuite de données ;

g) la suite qui a été réservée aux plaintes visées à la sous-question 2f.

3) Des démarches juridiques ont-elles été entreprises dans le cadre des plaintes visées à la sous-question 2f ? Le cas échéant, quel est l'état de la question ou quel a été le résultat de cette procédure juridique ?

4) Combien d'entreprises ont-elles déjà signalé une fuite de données au moyen du formulaire en ligne mis en place sur le site web de la Commission vie privée ? Combien de notifications provenaient-elles d'entreprises de télécommunications ?

5) Quelles mesures sont-elles actuellement prises afin de prévenir les fuites de données au niveau des services et organismes relevant de votre compétence ?

6) À combien s'élèvent les coûts annuels de prévention des violations de la sécurité, cyberattaques ou fuites de données ? Je souhaiterais une ventilation par mesure pertinente. Le cas échéant, j'aimerais connaître le montant qui a été investi de 2009 à ce jour dans des logiciels de contrôle de sécurité.

7) Estimez-vous opportun de prendre des mesures supplémentaires de prévention des fuites de données ? Pourquoi ? De quelles mesures supplémentaires s'agit-il et quel calendrier prévoyez-vous ? Dans la négative, pourquoi ?

L’honorable membre trouvera ci-après la réponse à ses questions :

1. En février 2011, le site www.poldoc.be de la police fédérale a fait l’objet d’un hacking. En janvier 2013, le site www.police.ac.be a fait l’objet d’un « defacement ». En avril 2014, le site www.policefederale.be a fait l’objet d’une tentative d’attaque en « bruteforce » et en septembre 2014, des soupçons d’une « attaque DDOS » (Distributed Denial Of Service) ont été posé pour le site www.poldoc.be.

2 a. Un jour dans les différents cas.

2 b. Pas de personnes privées ni de données personnelles.

2 c. Les sites concernés ne contenant que de l’information publique ou de gestion, aucune information sensible n’a pu être subtilisée par les pirates informatiques.

2 d. Notamment l’exploitation de faiblesses de sécurité.

2 e. Les mesures techniques ad hoc ont été prises pour corriger les failles en question.

2 f. Dans les différents cas, une plainte a été déposée auprès de la police fédérale judiciaire.

2 g. Nous n’avons pas été informés des suites judiciaires.

3. Cf. question 2g.

4. Je vous réfère à la Commission de la protection de la vie privée pour cette question.

5. Afin de maximiser les efforts et les moyens disponibles, la police fédérale en collaboration avec les zones de police a établi une synergie avec différents services publics fédéraux (SPF) et en particulier la Chancellerie du premier ministre et le FEDICT. En 2015, de nouvelles synergies portant sur des mesures d’organisation et des mesures techniques seront aussi recherchées avec d’autres SPF et le renouvellement et la modernisation de l’infrastructure ICT des services de police seront lancés.

6. La sécurisation des informations est un objectif prioritaire repris dans le programme stratégique « Information et ICT » du Plan national de sécurité 2012-2015. Cet objectif parcourt tous les domaines de l’ICT. Il n’est pas possible d’établir une distinction entre les coûts de sécurisation et les coûts de gestion, de développement et de renouvellement des applications, banques de données et infrastructures.

L’élément sécurisation est pris en compte lors de chaque renouvellement, développement et adaptation.

Des moyens supplémentaires ont été fournis en 2014 dans le cadre du budget spécifique de lutte contre la cybercriminalité afin de détecter au plus vite les nouvelles formes d’attaques (APT- Advanced Persistent Threat).

7. Oui, on ne peut jamais trop sécuriser ses systèmes ICT. Nous ne pouvons pas donner des détails concernant les mesures à prendre ; en rendant les points faibles publics, on affaiblirait la position de piratage de l’infrastructure.