Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 d’organiser, de mettre en œuvre et de contrôler la sécurité de l’information en fonction de l'avancement

des connaissances et de la technologie (par ex. conformément à la norme ISO 27001), ce qui implique la définition claire des tâches, des compétences et des responsabilités (cf. art 5, al. 1, let. a, et al. 2);

 de déterminer leurs objectifs quant à la sécurité de l’information et le niveau de sécurité à atteindre (cf.

art. 5, al. 3, let. a);

 de fixer les principes pour le traitement des risques (cf. art. 5, al. 3, let. b);

 de déterminer les conséquences en cas de violation des prescriptions (cf. art. 5, al. 3, let. c);

 d’ordonner la vérification périodique de la mise en œuvre et de l’efficacité des mesures (cf. art. 11);

 d’établir une liste des fonctions soumises à un contrôle de sécurité relatif aux personnes (art. 33).

Enfin, le projet renforce le rôle opérationnel de la ligne dans le recours aux TIC (cf. art. 23 à 26).

1.2.3.2 Gestion des risques

Les dangers et menaces pour les informations et les moyens TIC sont devenus plus complexes avec l'évolution vers une société de l'information. Cette situation exige que les autorités fédérales mettent davantage l’accent sur l’évaluation systématique des besoins de protection des informations et sur l’appréciation continue des risques en la matière. Une gestion efficace des risques dans le domaine de la sécurité de l’information s’impose par conséquent, de même qu’un examen régulier de la mise en œuvre des mesures de réduction des risques. Ces deux éléments font aujourd’hui largement défaut, raison pour laquelle on a lancé un processus visant une sécurité durable et rationnelle des informations.

Pour les autorités fédérales, la gestion des risques est une tâche aussi bien politique qu’économique. Le projet appelle les autorités concernées à définir le niveau qu’ils veulent atteindre en matière de sécurité de l’information (objectifs quant à la sécurité de l’information). Ce niveau est déterminant pour la conception des mesures de sécurité et pour l’évaluation de leur efficacité. Dans leur approche des risques, les autorités concernées doivent par ailleurs définir qui est habilité à assumer tel risque et ce qu’il advient lorsque les risques résiduels sont trop importants.

La gestion des risques évoquée est spécifique au domaine de la sécurité de l’information. Elle doit toutefois être intégrée au processus général de gestion des risques de toutes les autorités concernées, car les risques liés à la sécurité de l’information font évidemment partie de l’ensemble des risques d’affaires.

Le besoin de protection des informations (quant à leur confidentialité, leur intégrité, leur disponibilité et leur traçabilité) est évalué dans le cadre de la gestion des risques. Les dangers que recèlent des personnes, la technique ou des événements naturels sont analysés, tout comme les faiblesses correspondantes. L’évaluation des risques doit être aussi objective et systématique que possible. La ligne doit décider des mesures visant à assurer le niveau de sécurité déterminant. Enfin, les risques identifiés doivent être placés sous surveillance.

La continuité opérationnelle («business continuity management», ou BCM) est intimement liée à la gestion des risques. Elle doit garantir que les autorités soient en mesure d’assumer leurs tâches essentielles même en situation extraordinaire. En raison de la dépendance grandissante de l’accomplissement des tâches vis-à-vis des TIC, les risques en matière de sécurité de l’information sont susceptibles de mettre en péril des tâches légales critiques de la Confédération (cf. également art. 6, al. 3, LOGA). Par conséquent, les autorités fédérales sont appelées à élaborer des planifications préventives et à mener les exercices y afférents dans la perspective d’incidents en matière de sécurité de l’information risquant d’empêcher l’accomplissement de tâches indispensables.

1.2.3.3 Contrôles et audits

Chaque mesure ordonnée en matière de sécurité de l’information doit pouvoir être contrôlable et doit être contrôlée. Seuls des contrôles adéquats permettent aux autorités et organisations de connaître le niveau de sécurité de leurs informations, et de savoir quels risques elles encourent et quelles mesures correctives s’imposent le cas échéant. Le contrôle constitue aujourd’hui l’un des points faibles majeurs en matière de sécurité de l’information de la Confédération: il ne s’exerce que ponctuellement, voire uniquement à la suite d’un incident. En l’absence presque totale de contrôles, le savoir-faire et les ressources nécessaires font largement défaut. Il faut dès lors s’attendre à ce que les autorités et organisations concernées ne puissent éviter d’engager des ressources supplémentaires pour assumer cette tâche.

Les instruments et mécanismes de contrôle doivent impérativement être renforcés dans tous les domaines de la sécurité de l’information. C’est pourquoi le projet prévoit une obligation de contrôle générale (art. 11). Lorsque des contrôles, des audits ou des examens ciblés sont nécessaires, ils sont expressément exigés (en ce qui concerne les TIC, cf. ch. 1.2.3.5). Au quotidien, la responsabilité des contrôles et des audits incombe par