Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

principe à la ligne. Le contrôle de l’application des mesures ordonnées est du ressort de la direction. Le projet renforce par ailleurs les instruments dont dispose la ligne en matière de contrôles et d’audits. Ainsi, les préposés à la sécurité de l’information doivent pouvoir, sur mandat de leur autorité, procéder à des contrôles. Pour ce qui est des audits plus complexes ou des contrôles indépendants, les autorités doivent pouvoir les confier au service spécialisé de la Confédération en matière de sécurité de l’information prévu par le projet ou au CDF.

1.2.3.4 Classification des informations

La classification des informations est une mesure de protection appliquée de longue date pour protéger les informations propre à une organisation, dont la prise de connaissance par des personnes non autorisées peut nuire aux buts de l’organisation ou causer un préjudice à cette dernière. La classification n’est aujourd’hui réglée par l’OPrI que pour l’administration fédérale et l’armée. L’un des objectifs du présent projet est la mise sur pied d’un système de classification transversal, c’est-à-dire valable pour toutes les autorités fédérales, fondé sur des critères uniformes. Il est aussi tenu compte des attentes de la population quant à la transparence de l’action des autorités fédérales. La classification doit donc être conçue comme une exception fondée. Les valeurs seuils de la classification sont par ailleurs en partie relevées par rapport à la situation actuelle.

Le système à trois échelons assure une protection des informations adaptée au risque: les charges et coûts des mesures de sécurité augmentent en fonction du risque pour les intérêts publics méritant protection. L’échelon INTERNE permet de traiter simplement et à moindre coût des informations certes dignes de protection, mais qui ne sauraient justifier les charges occasionnées par le traitement des informations classifiées CONFI-DENTIEL. L’une des raisons principales pour le système à trois échelons est d’assurer la compatibilité avec les systèmes de classification usuels au plan international, notamment avec le système de l’Union européenne, et partant, de garantir un niveau de sécurité uniforme. La plupart des Etats utilisent un système à quatre échelons (pour l’UE par ex. RESTRICTED, CONFIDENTIAL, SECRET et TOP SECRET).

1.2.3.5 Sécurité dans l’engagement des TIC

Actuellement, les dispositions régissant la sécurité en matière de TIC se retrouvent soit au niveau de l’ordonnance, soit, dans la plupart des cas, au niveau des directives. Depuis quelques années, la sécurité relative aux moyens TIC a fortement gagné en importance en raison de la mise en réseau de plus en plus prononcée des systèmes et de la dépendance croissante des autorités fédérales vis-à-vis de ces moyens dans l’accomplissement de leurs tâches légales. Certains incidents, survenus dans le monde et en Suisse, ont montré la vulnérabilité des moyens TIC et ses conséquences potentielles. On ne peut se dispenser aujourd’hui d’inscrire au niveau formel de la loi certaines valeurs de référence en matière de sécurité des TIC, notamment dans la perspective de la mise en réseau croissante des moyens TIC des autorités et de la multiplication des échanges électroniques d’informations: des solutions et processus applicables à toutes les autorités s’imposent donc. En raison de la rapidité des évolutions technologiques, la plupart des mesures concrètes de sécurité devront encore être définies et consignées au niveau de l’ordonnance, voire à celui des directives.

Les rapports évoquant en détail des lacunes et des faiblesses dans le domaine des TIC sont généralement classifiés. Le premier rapport de révision du CDF après la décision du Conseil fédéral du 16 décembre 2009 relative à des mesures de renforcement de la sécurité de l’information au sein de l’administration fédérale donne une bonne vue d’ensemble des actions à entreprendre dans l’utilisation des TIC, malgré le champ d’étude restreint de l'audit (cf. ch. 1.1.3.2).

La sécurité de l’information dans l’engagement des TIC est souvent considérée comme une affaire technique, ce qui n’est vrai que dans une faible mesure: la majorité des mesures de sécurité en relation avec les TIC sont en effet de nature organisationnelle. Les autorités et organisations décidant de l'engagement de TIC (bénéficiaires de prestations) sont les premières compétentes en la matière, et non les organisations qui exploitent ces moyens sur mandat des autorités et organisations (fournisseurs de prestations). Le domaine de l’organisation est donc celui qui réclame le plus d’interventions.

La réglementation proposée se fonde sur des processus et des procédures en place, qu’il convient d’adapter aux besoins identifiés. Au-delà du renforcement de la gestion des risques (cf. ch. 1.2.3.2), il s’agit essentiellement:

 de répartir clairement les compétences et responsabilités entre les bénéficiaires de prestations TIC et les

fournisseurs de ces mêmes prestations. La responsabilité principale en matière de sécurité dans l'engagement des TIC incombe aux bénéficiaires de prestations. Ils sont compétents pour l'exécution de la procédure de sécurité. En revanche, les fournisseurs de prestations sont tenus de garantir la sécurité lors de