Le spectaculaire vol d'oeuvres d'art au Louvre nous plonge tout droit dans un film hollywoodien, tel que Haute Voltige ou Braquage à l'italienne. Il semble, malheureusement, que ces films ne relèvent plus de pures fictions. Les procédures de sécurité peuvent visiblement être facilement contournées pour commettre des activités criminelles. L'État fédéral possède de nombreux bâtiments contenant des objets de grande valeur et des informations sensibles, tout comme nos institutions culturelles et leurs collections. Il serait dommageable que des personnes mal intentionnées puissent s'infiltrer par des accès physiques, sécurisés ou non par des clés numériques, et ainsi tromper les systèmes de sécurité pour pénétrer dans les bâtiments. Cependant, les effractions physiques ne constituent pas le seul risque, les attaques numériques contre un réseau ou un système nécessitent également une sécurisation proactive et efficace. La possibilité de manipuler à distance les systèmes de climatisation pourrait, par exemple, endommager irrémédiablement des collections d'art ou du patrimoine. Bref, une faille au niveau de la sécurité de l'information n'affecte pas seulement les processus informatiques, mais peut aussi entraîner de graves conséquences pour les systèmes opérationnels, avec à la clé des risques financiers, opérationnels et sécuritaires. La directive NIS2 s'applique également aux bâtiments et aux infrastructures publics. 1. Existe-t-il un plan des clés pour nos institutions culturelles, qui protège les accès physiques? Les accès non visibles ont-ils également été répertoriés et sont-ils protégés? 2. Comment veillez-vous à ce que nos bâtiments soient protégés non seulement physiquement, mais aussi numériquement, afin que leurs divers équipements et processus restent sécurisés? Quelles mesures ont déjà été prises à cet effet? 3. Une gestion des risques vise-t-elle à établir un inventaire des dangers possibles d'effraction? 4. Comment ces processus sont-ils tenus à jour?
B039
Palais des Beaux-Arts La sécurité de Bozar repose sur un système étendu garantissant une surveillance permanente et un contrôle d'accès strict. Tout d'abord, la surveillance des accès extérieurs est continue et assurée 24 heures sur 24, 7 jours sur 7, par un système de caméras, renforcé par la présence constante de collaborateurs de la société Securitas au centre de dispatching. En outre, un système de détection d'intrusion est installé afin de détecter toute tentative d'accès non autorisé. En ce qui concerne le contrôle des accès, Bozar utilise un registre des clés permettant d'identifier à tout moment le détenteur de chaque clé. L'attribution des clés est strictement gérée, étant donné que toutes les clés ne peuvent pas être confiées à tout le monde. Souvent, les accès sont soumis à une double exigence (badge et clé). Il est donc impossible d'entrer sans disposer simultanément des deux éléments. Les badges sont eux-mêmes liés à des zones spécifiques, ce qui signifie que les droits d'accès sont précisément adaptés à la fonction et aux besoins opérationnels de l'utilisateur. De plus, toutes les activités aux lecteurs de badges sont enregistrées et consultables via un registre d'activités. Enfin, chaque accès donnant sur la voie publique fait l'objet d'une analyse approfondie et est soumis à une procédure spécifique afin d'éviter toute intrusion de personnes non autorisées. En matière de protection numérique, Bozar a mis en place les mesures suivantes: - sécurité numérique assurée par BELNET, le fournisseur de réseau du gouvernement fédéral, qui fournit notamment: o un réseau redondant (2 POP) avec une surveillance permanente et les service level agreements les plus élevés; o une protection contre les attaques DDoS; o des certificats de sécurité informatique (wildcard *.bozar.be, public.bozar.be) pour l'ensemble de nos services web (https pour tous nos logiciels), via un contrat-cadre avec GÉANT (le réseau européen de la recherche et de l'enseignement), qui met ces certificats à disposition via la plateforme HARICA. Ceux-ci permettent des communications chiffrées et sécurisées conformément aux politiques et procédures en matière de cryptographie et de chiffrement; o des services de sauvegarde (sauvegardes hébergées automatiques quotidiennes); o l'accès au réseau BELNET en collaboration constante avec le Cyber Emergency Response Team fédéral et le Centre pour la Cybersécurité Belgique, offrant un accès à la surveillance technologique, à la détection, à l'observation et à l'analyse des problèmes de sécurité, aux audits de sécurité, aux tests d'intrusion, à la publication d'informations en cybersécurité, etc. - sécurité numérique assurée par des pare-feu Fortigate redondants de Fortinet, l'un des leaders du marché dans ce domaine; - sécurité numérique assurée par des contrats de services avec des entreprises telles que Microsoft, Google, NSI, Quant ICT, etc. garantissant la mise à jour continue de nos logiciels de sécurité numérique; - sécurité numérique assurée par l'implémentation de logiciels tels que ClearPass de HPE Aruba, installés de manière redondante en tant que fournisseur d'identité (IdP) et logiciel de contrôle d'accès pour les réseaux filaires et wifi. Ce logiciel gère les accès B2C à nos systèmes d'information (tels que Secutix pour la billetterie, Drupal pour le site web et la plateforme Maecenas) et permet la segmentation du réseau, une politique ZTNA (Zero Trust Network Access), l'authentification multifacteur et une visibilité complète sur l'ensemble des utilisateurs. Afin de garantir une sécurité optimale, Bozar a réalisé plusieurs audits de sécurité, tant internes qu'externes. Ces évaluations ont permis à Bozar de définir des protocoles et procédures spécifiques pour chaque point d'accès physique, afin que le risque soit en permanence calculé et mesuré. Grâce à cette approche, Bozar dispose d'une vision précise des accès physiques et des points nécessitant une vigilance accrue. Par ailleurs, plusieurs plans d'action ont été élaborés afin de pouvoir réagir à différents risques externes potentiels (tels que la menace d'un attentat, des situations de confinement ou de lockdown). Cette analyse des risques n'est pas statique, mais fait l'objet d'une évaluation continue. En matière d'accès numérique, Bozar se conforme à la gestion des risques telle que définie à l'article 21 de la directive NIS2 par la mise en oeuvre: - d'une politique d'analyse des risques et de sécurité des systèmes d'information; - d'un dispositif de reporting incluant les incidents; - de la continuité des activités (gestion des sauvegardes, reprise des activités, gestion de crise); - de la sécurité de la chaîne d'approvisionnement; - de l'hygiène cybernétique et de la formation en cybersécurité; - du contrôle des accès et de la gestion des actifs; - de l'authentification multifacteur (MFA); - de communications sécurisées. - en outre, Bozar se conforme à l'article 32, qui prévoit des inspections sur site, des audits de sécurité réguliers et ciblés, ainsi que des scans de sécurité. La politique de sécurité de Bozar évolue en fonction des événements. Une analyse continue est réalisée par des analystes internes ou externes. Les moyens techniques et humains sont évalués en permanence. La politique de mise à jour des logiciels est également conforme au mécanisme d'amélioration continue via une boucle de rétroaction et à la visibilité en temps réel offerte par les interfaces de nos systèmes (visibilité permanente des utilisateurs et de leurs accès), ainsi qu'au respect de la réglementation (un système conçu pour répondre aux exigences évolutives de la directive NIS2, du RGPD et des arrêts Schrems I et II). Théâtre Royal de la Monnaie Au Théâtre Royal de la Monnaie, les accès physiques sont contrôlés par un système de badges et de portiques d'accès, lesquels ne peuvent être actionnés que via des systèmes de badges contrôlés. En outre, les bâtiments de la Monnaie sont équipés d'un système de surveillance par caméras, installé par la Régie des Bâtiments, couvrant tous les points d'accès critiques, avec des caméras surveillant l'environnement immédiat. En complément de ces systèmes techniques de surveillance, la Monnaie a attribué, via un marché public, une mission de gardiennage à la société G4S, présente physiquement durant les heures d'ouverture et assurant également, via un système de monitoring à distance, la surveillance en matière de sécurité et de détection incendie pour les ateliers. Les bâtiments sont équipés d'une centrale de détection d'intrusion. La Monnaie a également entreposé une partie de ses archives et de ses pièces historiques de valeur dans les étages souterrains sécurisés de la Tour des Finances, où la sécurité est assurée via un contrat annuel. Il convient toutefois de préciser que la nature des activités de la Monnaie n'implique pas la détention de pièces d'une très grande valeur. À la suite des attentats de Paris, la Monnaie a fait appel à la société GOLDFIRE afin d'analyser les risques de sécurité dans le hall d'entrée du bâtiment du théâtre, en vue d'envisager des mesures complémentaires sur la base de cette analyse des risques. Ces mesures doivent encore faire l'objet d'un suivi et d'une analyse plus approfondis quant à leur nécessité, en fonction des niveaux de risque terroriste annoncés au niveau national. Le réseau informatique interne de la Monnaie est isolé du web public au moyen d'un pare-feu. Seules les connexions strictement nécessaires vers l'extérieur sont autorisées. Pour les systèmes devant être accessibles depuis l'extérieur, une couche de sécurité supplémentaire est prévue via un proxy applicatif. L'accès externe pour le télétravail se fait via EDUVPN. Les connexions VPN aboutissent dans un segment réseau distinct (VLAN), séparé du réseau interne. Dans la gestion du réseau interne, une segmentation en plusieurs sous-réseaux a été mise en place afin d'améliorer la sécurité et la gestion. Cette segmentation permet la détection des vulnérabilités et le patching, avec une subdivision plus poussée de ces segments (serveurs, imprimantes, production, IoT, etc. ). D'autres mesures de sécurité informatique courantes sont également opérationnelles, telles que la protection des terminaux par chiffrement, la gestion via MDM, le patch-management, l'antivirus, ainsi que la protection des utilisateurs par l'authentification multifacteur et des campagnes de sensibilisation et de formation à partir de 2026. Des mesures supplémentaires (PAM) sont prévues dans la feuille de route IT. En 2026, la Monnaie prévoit, via un marché public, une analyse de ses systèmes actuels afin d'évaluer les possibilités de faire évoluer ces systèmes vers une meilleure interconnexion technique des systèmes existants, en vue d'une meilleure gestion des risques de sécurité et/ou de prévoir les investissements nécessaires dans de nouveaux systèmes. Le contrat actuel avec G4S arrive à échéance fin 2026 et sera dès lors attribué via une nouvelle procédure de marché public. Le cahier des charges technique de ce marché reprendra les exigences actuelles ainsi que nos exigences en matière de procédures. Orchestre National de Belgique L'Orchestre National de Belgique (ONB) n'est pas hébergé dans un bâtiment de l'État fédéral, mais loue des bureaux et des salles de répétition dans un immeuble privé appartenant à Generali. La responsabilité du plan de clés, du contrôle des accès physiques et de la sécurisation de tous les accès visibles et non visibles incombe donc entièrement au propriétaire du bâtiment. Generali dispose d'un système intégré de sécurité et de gestion des accès applicable à l'ensemble des locataires. Celui-ci comprend notamment le contrôle des accès par badge, la gestion des sorties techniques et de secours, ainsi que la sécurisation des points d'accès moins visibles. L'ONB respecte strictement les procédures et directives de sécurité imposées par Generali. Il convient également de souligner que l'ONB ne dispose pas de collections d'art de valeur, ce qui rend le risque de cambriolage ciblé en vue d'un vol d'oeuvres d'art particulièrement faible. La sécurité numérique des systèmes internes, des équipements et des processus de l'ONB est gérée au sein de la propre structure informatique de l'institution. Pour la sécurisation de cet environnement IT, l'ONB fait appel à Smals, qui est responsable de la protection technique, de la surveillance et du support de l'infrastructure numérique. Plusieurs mesures ont été mises en place afin de renforcer la cybersécurité, notamment: - une architecture réseau sécurisée et un contrôle des accès; - des mises à jour régulières et une surveillance continue; - la protection des données sensibles; - des procédures internes de gestion des incidents. Étant donné que le bâtiment dans lequel l'ONB est établi est une propriété privée, la sécurité numérique du bâtiment lui-même (tels que les points d'accès réseau ou les systèmes liés au bâtiment) relève également de la responsabilité de Generali. Les deux parties veillent à ce que leurs systèmes respectifs restent séparés et sécurisés. Au sein de l'ONB, une gestion structurelle des risques est néanmoins appliquée, notamment via des analyses de risques internes et le suivi des incidents de sécurité. Generali, en tant que gestionnaire et propriétaire du bâtiment, effectue ses propres inventaires des risques, comprenant notamment l'évaluation des risques d'intrusion, la sécurité incendie et la sécurité générale du bâtiment. En tant que locataire, l'ONB est tenu de respecter l'infrastructure et les procédures de sécurité imposées par le propriétaire. Les plans d'urgence et d'intervention pour le bâtiment sont élaborés, actualisés et communiqués par Generali. Ces plans sont contraignants pour tous les locataires, y compris l'ONB. Generali met régulièrement à jour ces procédures, notamment à la suite d'inspections techniques, de modifications de l'infrastructure ou de nouvelles exigences légales. L'ONB suit attentivement ces mises à jour et adapte ses procédures internes lorsque cela s'avère nécessaire, afin que son fonctionnement reste en permanence conforme aux directives de sécurité les plus récentes.