Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

l’exploitation des moyens TIC. Ils doivent respecter et appliquer les exigences et mesures prévues par la présente loi et répondre aux exigences supplémentaires convenues avec les bénéficiaires de prestations;

 d’évaluer la criticité des moyens TIC utilisés en rapport avec les informations qu’ils sont appelés à trai-

ter et avec l’accomplissement des tâches de l’autorité ou de l’organisation concernée (détermination de la catégorie de sécurité). La détermination de la catégorie de sécurité d’un moyen TIC sert d’une part à faire prendre conscience aux autorités de la criticité de leurs informations et moyens TIC et leur permettre par la suite de mettre l’accent sur leurs valeurs critiques lorsqu’elles décideront des mesures de sécurité. D’autre part, des exigences et mesures minimales standard de sécurité devront être définies pour chaque catégorie et appliquées avant la mise en exploitation du moyen TIC;

 de renforcer le rôle opérationnel de la direction de l’autorité ou organisation concernée. La direction de

l’autorité ou de l’organisation doit être associée à la procédure de sécurité. Elle doit être informée précocement des risques et être en mesure de prendre les mesures en conséquence. C’est pourquoi le projet prévoit que tous les moyens TIC qui seront utilisés doivent être autorisés à l’exploitation par l’autorité ou l’organisation sous l’angle de la sécurité. Pour autant que, en raison de la criticité d’un moyen TIC, un concept de sécurité de l’information s’impose, ce dernier doit être approuvé par l’autorité ou l’organisation;

 de renforcer les contrôles et les examens. Abstraction faite des contrôles généraux (art. 11), le projet pré-

voit trois autres types de contrôles en matière de TIC:

 contrôle de conformité. Pour chaque moyen TIC qui sera engagé, il faut s’assurer que la procédure de sécurité a été menée conformément au droit et que les mesures de sécurité prévues ont bien été appliquées. Il s’agit donc ici d’un contrôle de qualité;

 examen du concept de sécurité de l’information. Les préposés à la sécurité de l’information examineront tous les concepts de sécurité de l’information avant qu’ils ne soient soumis à la direction pour approbation;

 contrôle d’efficacité pour les moyens TIC les plus critiques. Avant toute autorisation de mise en service d’un moyen TIC de la catégorie de sécurité la plus élevée («protection très élevée»), il convient d’examiner l’efficacité réelle des mesures prises. Seuls des auditeurs qualifiés et certifiés entrent en ligne de compte pour de tels audits. Le contrôle d’efficacité est la seule mesure susceptible de renseigner sur l'état réel de la sécurité de l’information.

1.2.3.6 Mesures concernant le personnel

Les membres du personnel et les tiers chargés de traiter des informations de la Confédération sont responsables du respect des prescriptions régissant l’utilisation des informations et des moyens TIC. Pour ce faire, une formation appropriée s’impose. À cet égard, le besoin est considérable.

Un autre élément important de la sécurité de l’information est la délivrance restrictive d’autorisations. Selon ce principe, les autorités et organisations concernées veillent à ne délivrer que les autorisations de traiter des informations, d'utiliser des moyens TIC et d’accéder aux locaux dont les personnes concernées ont effectivement besoin pour l’accomplissement de leurs tâches. De plus, les autorisations doivent être revues périodiquement. Cette règle, qui vise en particulier à réduire le risque d’une malveillance interne, n’est pas appliquée partout.

Le projet définit par conséquent ces deux principes (formation et délivrance restrictive d’autorisations) comme exigences minimales vis-à-vis du personnel. Les autorités et organisations concernées devront édicter des prescriptions détaillées dans le cadre de l’exécution.

1.2.3.7 Protection physique d’informations et de moyens TIC

On oublie trop souvent l’importance que revêtent les contrôles à l’entrée et d’autres mesures physiques de protection pour la sécurité de l’information. Le projet fixe à cet égard les exigences minimales.

Il crée également une base légale permettant d'établir des zones dites « de sécurité ». Il s’agit de locaux et de secteurs bénéficiant d’une protection particulière parce que l’on y traite souvent des informations classifiées CONFIDENTIEL ou SECRET, ou qu’on y exploite des moyens TIC des catégories de sécurité «protection élevée» ou «protection très élevée». Ces zones de sécurité sont usuelles dans le contexte international, mais peu répandues au sein de la Confédération. La délimitation de zones de sécurité n’est pas une mesure obligatoire et fait l’objet d’une disposition potestative. Leur mise en place nécessite une base légale formelle parce ces zones peuvent être liées à des mesures qui constituent une intervention relativement lourde dans les droits individuels (par ex. le recours à des méthodes d’identification biométriques ou la surveillance vidéo permanente). Un contrôle de sécurité relatif aux personnes peut également être une condition de l’accès à des