Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

1.1.1.3 Données publiques en libre accès (Open Government Data; OGD)

L’OGD est une notion étroitement liée au principe de la transparence, qui vise l’accessibilité et la réutilisation de données produites dans le cadre des activités de l’administration. La publication et la réutilisation libre de données des autorités peuvent offrir des avantages économiques, politiques et internes à l’administration.

Dans son rapport du 13 septembre 2013 en réponse au postulat Wasserfallen 11.3884 du 29 septembre 2011 («Le libre accès aux données publiques comme priorité stratégique de la cyberadministration»), le Conseil fédéral estime que l’appréciation des chances et des risques de l’OGD montre un potentiel intéressant pour une conduite transparente et efficace de l’administration et la création d’une plus-value économique. Il a chargé l’Unité de pilotage informatique de la Confédération (UPIC), en collaboration avec les Archives fédérales suisses (AFS), de diriger et coordonner le développement de l’OGD et de formuler une stratégie nationale en la matière.

1.1.2 Risques de la société de l’information

Le Conseil fédéral veut limiter les risques de voir le changement sociétal désavantager la population et l’économie, ou mettre en péril les droits individuels. Certains risques ne concernent pas en priorité les effets du changement (par ex. la «fracture numérique»), mais les informations elles-mêmes et les réseaux d’information et de communication. Souvent, la valeur réelle des informations n’apparaît malheureusement qu’à la faveur d’un incident source d’effets négatifs. Tant pour les pouvoirs publics que pour les entreprises et les particuliers, la perte, le vol, la diffusion non autorisée ou l’utilisation abusive d’informations peut avoir des conséquences extrêmement déplaisantes.

Tout aussi vulnérables sont les infrastructures d’information et de communication, de même que les moyens TIC pris individuellement, dont les autorités et les entreprises se servent dans leurs processus d’affaires. Ainsi, la défaillance d’un système informatique peut avoir des conséquences financières considérables selon la place qu’il occupe dans les processus d’affaires (criticité). Lorsqu’une telle défaillance touche l’exploitant d’une infrastructure fournissant des services indispensables au fonctionnement de la société, de l’économie ou de la Confédération (infrastructure critiques, IC), les effets peuvent être catastrophiques et, dans le pire des cas, entraîner mort d’homme.

1.1.2.1 Menaces sur les informations et les moyens TIC

Chaque jour, les médias relatent des cas d’espionnage, d’attaques ou de défaillances touchant des services TIC, ou d’autres événements en rapport avec la sécurité de l’information. Ces dangers sont décrits dans la Stratégie nationale de protection de la Suisse contre les cyberrisques du 27 juin 2012 (SNPC; FF 2013 517, cf. ch. 1.1.2.2). Pour une appréhension réaliste la menace, il faut tenir compte de trois éléments:

Les menaces doivent être prises au sérieux. Les spécialistes ont souvent tendance à dramatiser les risques et leurs effets potentiels. A l’inverse, on ne saurait non plus les sous-estimer. Les organisations criminelles investissent souvent énormément d’argent et de savoir-faire pour dérober des données informatiques de clients (notamment les données des banques et des cartes de crédit) ou pour faire chanter des particuliers. Leurs moyens restent toutefois très modestes en regard des ressources financières et humaines engagées par certains acteurs étatiques dans l’espionnage politique, diplomatique, scientifique et économique. Certains Etats accordent la priorité à des activités ciblées d’espionnage économique et industriel en vue de favoriser l’industrialisation et le développement de leur économie ou de moderniser leurs forces armées.

De plus, les menaces qu’il faut prendre au sérieux ne concernent pas seulement la protection de la confidentialité des informations, mais également la disponibilité d’infrastructures et de services publics ou privés, en raison de leur dépendance à l’égard des TIC. Des sabotages tels l’attaque découverte en juin 2010 contre des installations iraniennes d’enrichissement d’uranium par le logiciel malveillant Stuxnet figurent parmi les scénarios les plus cités. Mais les dérangements ou interruptions de l'activité en raison de défaillances techniques, de fausses manipulations ou d’événements naturels, par exemple une panne d’électricité ou un incendie, sont nettement plus fréquents et peuvent avoir des conséquences tout aussi graves.

Enfin, la surveillance à grande échelle du trafic sur Internet, notamment par le détournement et la perversion de services et applications TIC très répandus ne saurait être passée sous silence, pas plus que la corruption systématique des normes de cryptage. Les révélations les plus récentes à propos de tels agissements prouvent que les hypothèses quant à l’intégrité d’Internet et des services de base sont erronées, notamment en ce qui concerne la sécurité du traitement des informations.

On assiste à une véritable «course aux armements informatiques». La plupart des pays développés sont conscients de leur dépendance à l’égard de l’infrastructure d’information et de communication, de même que