|
|
Federale overheid - Datalekken - Cijfers - Klachten - Juridische procedure - Preventie - Kosten - Maatregelen
gegevensbescherming
computerpiraterij
computercriminaliteit
Gegevensbeschermingsautoriteit
ministerie
onderzoeksorganisme
instelling van openbaar nut
| 23/10/2014 | Verzending vraag (Einde van de antwoordtermijn: 27/11/2014) |
| 4/2/2015 | Rappel |
| 29/4/2015 | Antwoord |
Ook gesteld aan : schriftelijke vraag 6-19
Ook gesteld aan : schriftelijke vraag 6-20
Ook gesteld aan : schriftelijke vraag 6-22
Ook gesteld aan : schriftelijke vraag 6-23
Ook gesteld aan : schriftelijke vraag 6-24
Ook gesteld aan : schriftelijke vraag 6-25
Ook gesteld aan : schriftelijke vraag 6-26
Ook gesteld aan : schriftelijke vraag 6-27
Ook gesteld aan : schriftelijke vraag 6-28
Ook gesteld aan : schriftelijke vraag 6-29
Ook gesteld aan : schriftelijke vraag 6-30
Ook gesteld aan : schriftelijke vraag 6-31
Ook gesteld aan : schriftelijke vraag 6-32
Ook gesteld aan : schriftelijke vraag 6-33
Ook gesteld aan : schriftelijke vraag 6-34
Ook gesteld aan : schriftelijke vraag 6-35
Ook gesteld aan : schriftelijke vraag 6-36
Een praktijkvoorbeeld van een datalek in België dat nog steeds het meest tot de verbeelding spreekt is wellicht dit bij de Nationale Maatschappij der Belgische Spoorwegen (NMBS). Op 29 december 2012 berichtten de media dat private gegevens van ongeveer 1,5 miljoen NMBS-klanten waren gelekt. Het datalek bij de NMBS raakte bekend doordat een internetgebruiker via een zoekopdracht in Google een bestand met persoonlijke gegevens van klanten van NMBS Europe bij toeval « ontdekt » had. Volgend op dit datalek ontving de Privacycommissie ruim duizend zeven honderd klachten over het lekken van persoonlijke gegevens via een website van de NMBS.
De Commissie voor de bescherming van de persoonlijke levenssfeer (CBPL), beter gekend als de Privacycommissie, plaatste op 12 juni 2014 formulieren op haar website. Aan de hand van die formulieren kunnen bedrijven op een eenvoudige en snelle manier een datalek melden. Voor telecombedrijven geldt een meldingsplicht.
Ik heb volgende vragen :
1) Hoe vaak werd er in de periode van 2009 tot heden een aanval gericht op de digitale gegevens of database(s) van de federale of programmatorische overheidsdiensten (FOD of POD), wetenschappelijke instellingen, instellingen van openbaar nut (ION) of instellingen van sociale zekerheid (OISZ) die onder uw bevoegdheid vallen ? Graag kreeg ik per overheidsdienst en -instelling een jaarlijks overzicht.
2) Zijn er FOD's, POD's, wetenschappelijke instellingen, ION's of OISZ's die tussen 2009 en heden te maken hebben gehad met een datalek ? Zo ja, dan kreeg ik graag per betrokken dienst of instelling een overzicht van volgende elementen :
a) het tijdstip en de duur van het datalek ;
b) de omvang van het datalek (hoeveel personen waren hierbij betrokken) ;
c) een omschrijving van de gelekte gegevens ;
d) de oorzaak van het datalek ;
e) de getroffen maatregelen ten gevolge van het datalek ;
f) het aantal klachten die desgevallend werden ingediend per datalek ;
g) het gevolg dat werd gegeven aan de desbetreffende klachten uit deelvraag 2f.
3) Werden er in het kader van de klachten uit deelvraag 2f. juridische stappen ondernomen ? Wat is desgevallend de stand van zaken of wat was het eindresultaat van deze juridische procedure ?
4) Hoeveel bedrijven hebben reeds een gegevenslek via het onlineformulier op de website van de Privacycommissie gemeld ? Hoeveel meldingen waren afkomstig van telecombedrijven ?
5) Welke maatregelen worden er thans genomen ter preventie van datalekken bij de diensten en instellingen die ressorteren onder uw bevoegdheid ?
6) Hoeveel bedragen de jaarlijkse kosten ter preventie van beveiligingsinbreuken, cyberaanvallen of datalekken ? Graag kreeg ik een uitsplitsing per relevante maatregel. Desgevallend graag het bedrag dat er in de periode 2009 tot heden werd geïnvesteerd in software voor security monitoring.
7) Acht u bijkomende maatregelen ter preventie van datalekken opportuun ? Waarom? Om welke bijkomende maatregelen gaat het en welk tijdpad stelt u hierbij voorop ? Waarom niet ?
Het geachte lid vindt hieronder het antwoord op zijn vragen :
1. Wat de federale politie betreft : in februari 2011 werd de site www.poldoc.be gehackt. In januari 2013 werd de site www.police.ac.be « gedefaced ». In april 2014 werd geprobeerd de site www.policefederale.be te hacken via een « brute force cracking » en in september 2014 kreeg de site www.poldoc.be te maken met een vermeende « DDOS-aanval » (Distributed Denial Of Service).
2 a. Een dag in de verschillende gevallen.
2 b. Geen privé-personen, geen persoonlijke gegevens.
2 c. Aangezien de betrokken sites slechts publieke informatie of informatie inzake beheer bevatten, kon geen enkele gevoelige informatie door de hackers worden ontvreemd.
2 d. Voornamelijk de exploitatie van zwakheden in de beveiliging.
2 e. Er werden technische adhoc-maatregelen genomen om deze zwakheden te corrigeren.
2 f. In de verschillende gevallen werd een klacht ingediend bij de federale gerechtelijke politie.
2 g. Wij werden niet geïnformeerd over het gerechtelijk gevolg.
3. Cf. vraag 2g.
4. Hiervoor verwijzen we u door naar de Privacycommissie.
5. Om de inspanningen en beschikbare middelen optimaal te kunnen inzetten, is de federale politie samen met de politiezones een samenwerkingsverband aangegaan met verschillende federale overheidsdiensten (FOD’s) en in het bijzonder de Kanselarij van de eerste minister en het FEDICT. In 2015 willen we nieuwe samenwerkingsverbanden aangaan met andere FOD’s met betrekking tot de organisatorische en technische maatregelen en van start gaan met de vernieuwing en modernisering van de ICT-infrastructuur van de politiediensten.
6. De beveiliging van informatie is een prioritaire doelstelling die is opgenomen in het strategisch programma « Informatie en ICT » van het Nationaal Veiligheidsplan 2012-2015. Die doelstelling doorloopt alle domeinen van ICT. Het is niet mogelijk een onderscheid te maken tussen de beveiligingskosten en de kosten voor beheer, ontwikkeling en vernieuwing van applicaties, databanken en infrastructuren.
Er wordt extra aandacht geschonken aan beveiliging bij elke vernieuwing, ontwikkeling en aanpassing.
In 2014 werden bijkomende middelen voor strijd tegen cybercriminaliteit ter beschikking gesteld om de nieuwe vormen van aanvallen zo snel mogelijk te detecteren (APT- Advanced Persistent Threat).
7. Ja, men kan zijn ICT-systemen nooit genoeg beveiligen. We kunnen echter geen details geven van de geplande maatregelen; door de zwakheden openbaar te maken zouden we onze infrastructuur enkel kwetsbaarder maken voor aanvallen.