Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

formations classifiées, ne pouvaient généralement être respectées du fait que des solutions et services de sécurité nécessaires font aujourd’hui défaut, ou qu’ils ne sont pas utilisés ou offerts pour diverses raisons, notamment financières. Il en résulte une situation un peu absurde, dans laquelle des membres du personnel de la Confédération qui, dans le privé, n’utiliseraient jamais les services bancaires en ligne si ceux-ci ne répondaient pas aux exigences actuelles de sécurité technique, n’hésitent parfois pas à conserver ou à transmettre dans leur environnement de travail des informations classifiées CONFIDENTIEL voire SECRET sans prendre la peine de les crypter.

Ce constat ne concerne pas seulement des informations classifiées, qui ne représentent aujourd’hui qu’une petite fraction de toutes les informations de la Confédération dignes de protection. Des lacunes semblables existent en matière de protection des données personnelles, du secret professionnel, des secrets d’affaires et de fabrication et d’autres informations dont la confidentialité, la disponibilité, l'intégrité ou la traçabilité doivent être protégées. En cas de besoin élevé de protection des informations, des mesures techniques de sécurité particulières doivent être prises. Toutefois, ces mesures de sécurité particulières requièrent la mise en place préalable d'une protection de base forte, sans laquelle les mesures techniques particulières pourront plus facilement être contournées. Or, des contrôles de l’OFIT montrent que les mesures minimales de la protection de base sont souvent appliquées de façon lacunaire.

Dans ce contexte de lacunes importantes en matière de protection électronique des informations, il faut toutefois relever que les tâches des services chargés d’élaborer les prescriptions de sécurité informatique et de les mettre en œuvre sont devenues bien plus complexes en peu de temps, du fait des innovations technologiques permanentes, des nouvelles menaces et faiblesses qui y sont liées, ainsi que des ressources financières et humaines insuffisantes.

1.2.1.2 Lacunes organisationnelles

Eu égard aux défis techniques, la Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI) avait déjà préconisé une réorientation dans son rapport semestriel en été 2008:

«Les mesures techniques de sécurité et le bon sens ne suffisent plus pour déjouer les cyberattaques ciblées d’aujourd’hui. D’où la nécessité d’une redéfinition des priorités axée sur la protection de l’information et non plus seulement sur la protection des ordinateurs et des réseaux. [...] la gestion de

l’information et des données, la classification de l’information, etc., joueront un rôle accru»4.

Cette affirmation est capitale pour la compréhension de la nouvelle réglementation proposée. La seule sécurité technique des TIC ne suffit plus: une protection plus efficace des informations requiert des mesures organisationnelles. A la Confédération, les lacunes dans ce domaine concernent en particulier la gestion de la sécurité de l’information et les bases légales.

Dans le secteur privé, on prend conscience du fait que la sécurité est une affaire de dirigeants et qu’elle est économiquement rentable au plus tard après qu’un dommage ait eu lieu et que l’on se soit efforcé de limiter les dégâts. Dans les administrations publiques, en revanche, la sécurité est souvent considérée comme une simple génératrice de coûts et comme un obstacle, notamment parce que les pouvoirs publics ne peuvent pas subir un dommage concurrentiel en cas d’incident. Par conséquent, la perte de productivité, due par exemple à une panne de services TIC, n’est généralement pas évaluée, pas plus qu’elle n’est comparée aux coûts qu’entraîneraient des mesures de limitation du risque.

Cette situation prévaut aussi dans le domaine de la protection des informations de la Confédération. Par exemple, la sécurité des TIC est souvent considérée comme une affaire purement technique et non pas comme une tâche de direction. Ainsi, la ligne ne prête généralement qu’une attention minime à son propre rôle dans le processus de sécurité et les tâches habituelles de direction (par ex. la définition d’objectifs, le contrôle de la mise en œuvre ou l’évaluation de l’efficacité de mesures) incluent rarement le domaine de la sécurité. Les coûts de la sécurité ne peuvent pas non plus être exposés de manière transparente, ce qui empêche toute appréciation de la rentabilité des mesures (analyse coût/utilité). Enfin, en cas d’incident ou de violation des prescriptions, les responsables ne sont que rarement sommés de rendre des comptes.

Les conditions cadres juridiques présentent aussi des lacunes. Au niveau de la Confédération, les bases légales de la protection des informations sont très sectorielles, peu harmonisées et souvent lacunaires. C’est ainsi que la Confédération exploite aujourd’hui, aux niveaux tant juridique qu’organisationnel, des systèmes parallèles de protection des données, de protection des informations (classifiées), de sécurité informatique, de sécurité physique et de gestion des risques. Par ailleurs, les contrôles de sécurité relatifs aux personnes