Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

des dangers qu’ils encourent, et ils prennent des mesures de protection. Mais de loin pas tous les Etats se contentent de stratégies purement défensives: nombreux sont ceux qui se dotent de capacités offensives de nature militaire ou dans le domaine du renseignement. En Suisse également, des voix s’élèvent en faveur du renforcement de telles capacités offensives. Contrairement à la course classique aux armements, la participation ne se limite pas aux acteurs étatiques ou financés par l’Etat. Les solutions n’étant pas toujours particulièrement complexes et coûteuses et n’exigeant pas nécessairement des installations d’envergure, nombre d’informaticiens, de mathématiciens et d’autres spécialistes en technologie travaillent inlassablement au développement de nouveaux programmes techniques de protection ou de programmes malveillants. Eu égard aux moyens engagés et à l’hétérogénéité des acteurs, la course aux armements informatiques semble n’en être qu’à ses débuts. Enrayer cette dynamique constituera un défi de taille pour lequel les réponses font encore défaut: la seule certitude est qu’aucun pays ne parviendra à la maîtriser à lui seul.

Une trop grande concentration sur le domaine informatique est dangereuse. L’informatisation du traitement de l'information et la mise en réseau des systèmes, notamment par Internet, ont créé de nouveaux types de menaces. Il est donc compréhensible que l’attention et l’action se focalisent sur la protection contre ces nouveaux risques. Pour autant, on ne saurait réduire la protection de l'information et des moyens TIC à la seule prévention des cyber-attaques: des menaces significatives ont en effet peu à voir avec Internet ou les logiciels malveillants, ou alors indirectement seulement. Par exemple, l’espionnage applique toujours des méthodes anciennes. Certes, le recours à des techniques électroniques d’espionnage est relativement moins coûteux et moins risqué que le recours à des espions en chair et en os. La composante humaine reste toutefois indispensable à l’acquisition d’informations de qualité. En effet, des informations sont aujourd’hui encore échangées oralement entre des personnes ou traitées sur support papier. Les risques qui y sont liés ne sauraient par conséquent être ignorés du point de vue de la sécurité de l’information.

1.1.2.2 Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC)

En collaboration avec les autorités, les milieux économiques et les exploitants d’infrastructures critiques (IC), le Conseil fédéral veut minimiser les risques de cette nature auxquels ils sont quotidiennement exposés. La SNPC identifie les cyberrisques en tant qu’émanations des processus et responsabilités en place, raison pour laquelle ils doivent être pris en compte dans les processus existants de gestion des risques.

Par sa stratégie, le Conseil fédéral poursuit trois buts:

 la détection précoce des menaces et des dangers dans le domaine informatique;

 le renforcement de la capacité de résistance des infrastructures critiques;

 la réduction efficace des risques liés à l’informatique, notamment de la cybercriminalité, du cyberespion-

nage et du cybersabotage.

Il entend approfondir la collaboration entre les autorités et les milieux économiques dans le domaine informatique et renforcer les bases existantes. Il s’appuie pour ce faire sur les structures actuelles et renonce à un organe national central de pilotage et de coordination dont d’autres pays se sont dotés. La SNPC expose les champs d’action et les mesures qui doivent permettre de réduire les cyberrisques au plan national. A cette fin, l’actuelle Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI), qui assumait déjà cette tâche sous forme de partenariats public-privé, a été renforcée. De plus, le Conseil fédéral a donné mandat aux départements de mettre en œuvre diverses mesures à leur niveau et dans le dialogue avec les autorités cantonales et les milieux économiques. Ces mesures vont de l’analyse des risques encourus par les infrastructures TIC critiques à une défense plus soutenue des intérêts suisses sur la scène internationale. Un organe de coordination a été créé au DFF pour assurer la coordination de la mise en œuvre de la SNPC.

Pour ce qui est de la stratégie nationale pour la protection des infrastructures critiques, cf. ch. 3.5.3.

1.1.2.3 Risques pour les autorités fédérales

Les autorités fédérales sont elles aussi exposées aux risques évoqués dans la SNPC. Elles exploitent en effet des infrastructures d’information et de communication dont les perturbations, le dérangement ou la destruction peuvent mettre en péril l’accomplissement de tâches fédérales légales critiques et entraîner de ce fait des préjudices considérables pour la société, l’économie ou l’Etat. Dans l’accomplissement de ses tâches légales, la Confédération traite quotidiennement des volumes importants d’informations, parmi lesquelles se trouvent des informations particulièrement sensibles pour la sécurité intérieure et extérieure, les relations internationales ou les intérêts économiques de la Suisse, et qui nécessitent pour cela d’être protégées par classification.

Les informations classifiées ne sont toutefois pas les seules informations qui nécessitent une protection élevée. Certes, l’espionnage se focalisait par le passé essentiellement sur la recherche de renseignements militaires ou d’informations de politique extérieure. De nos jours, il vise de plus en plus souvent l’économie.