Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

tion des données au sein de la Confédération, soumet au PFPDT des problèmes liés à la pratique et veille à l’organisation de sessions de formation.

1.3.1.3 Organisation spécialisée de la sécurité informatique

Pour l’essentiel, l’organisation de la sécurité informatique est réglée dans l’ordonnance sur l’informatique dans l’administration fédérale (OIAF), mais de nombreux autres actes normatifs ont une incidence sur les compétences et les responsabilités en la matière (OPrI, accords internationaux de protection des informations, OLPD, O-GEVER, etc.). La sécurité informatique est exécutée de manière décentralisée. Les départements et la Chancellerie fédérale sont eux-mêmes responsables dans leur domaine de compétence. L’exécution est toutefois pilotée de façon centralisée par un organe habilité à donner des instructions (l’UPIC) et accompagnée par un organe consultatif (C-SI).

 Conseil fédéral: le Conseil fédéral joue un rôle stratégique en matière de sécurité des TIC. Une part subs-

tantielle des tâches qu’il exerce dans ce domaine se fonde sur sa responsabilité dans le domaine général des TIC au sens de l’art. 14 OIAF: il définit la stratégie de la Confédération en matière de TIC, surveille la mise en œuvre de la stratégie de la Confédération en matière de TIC et prend des mesures si nécessaire, définit les services standard TIC, édicte des instructions sur la sécurité en matière de TIC et autorise les dérogations à ses directives.

 UPIC: dans les domaines de la sécurité des TIC, l’UPIC statue en vertu de l’art. 17 OIAF sur les proposi-

tions des départements, de la Chancellerie fédérale et des unités administratives concernant des réglementations particulières sur l’attribution des droits et des mandats en matière de sécurité, notamment en lien avec les pare-feu, les droits d’accès et les privilèges. Lorsque l’administration fédérale est menacée, elle décide de mesures de sécurité spécifiques aux TIC. Elle peut enquêter en qualité d’expert et sur mandat d’un département ou de la Chancellerie fédérale, sur des événements supposés ou avérés en rapport avec la sécurité. Elle désigne le délégué à la sécurité informatique de la Confédération. Elle dirige la Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI) en collaboration avec le service de renseignement de la Confédération. Enfin, elle préside l’organe consultatif qu’est le Comité de la sécurité informatique.

 Délégués à la sécurité informatique: en vue de l’exécution décentralisée, les départements et la Chancel-

lerie fédérale désignent chacun un délégué à la sécurité informatique (art. 19, al. 1, OIAF). Les délégués coordonnent tous les aspects de la sécurité informatique au sein de leur département et avec les organes supradépartementaux. Les unités administratives sont également tenues de désigner des délégués à la sécurité informatique, chargés de coordonner tous les aspects de la sécurité informatique au sein de leur unité et avec les organes départementaux.

 Comité de la sécurité informatique (C-SI): le C-SI est l’organe consultatif de l’UPIC pour toutes les ques-

tions de sécurité relatives aux TIC (art. 19 OIAF). Il contribue également à la coordination supradépartementale. Il regroupe les délégués à la sécurité informatique des départements et de la Chancellerie fédérale. Le Contrôle fédéral des finances (CDF), le PFPDT et les Services du Parlement peuvent chacun y nommer un représentant avec voix consultative.

 Conseil informatique de la Confédération (CI): le Conseil informatique de la Confédération (CI) est

l’organe consultatif de l’UPIC pour les affaires relatives aux TIC (y compris leur sécurité) nécessitant l’accord des départements et de la Chancellerie fédérale, notamment pour l’édiction de prescriptions et l’approbation de dérogations à leur application. Il regroupe le délégué au pilotage des TIC et un représentant nommément désigné de chaque département et de la Chancellerie fédérale. Un représentant de l’Administration fédérale des finances (AFF), du PFPDT, des fournisseurs de prestations internes et des Services du Parlement peut y participer avec voix consultative.

 Contrôle fédéral des finances (CDF): depuis le 1^erjanvier 2012, le CDF assure la révision de

l’informatique au sein de l’administration fédérale (art. 28 OIAF).

Outre cette organisation de base, de nombreux autres organes ou services se préoccupent également de la sécurité informatique au sein de la Confédération. On ne citera ci-après que ceux assumant des compétences et des responsabilités spécifiques importantes pour la sécurité des TIC des autorités fédérales, en faisant abstraction de ceux relevant des domaines du renseignement, du droit pénal ou d’autres secteurs.

 Protection des informations et des objets (PIO): la PIO, rattachée au Groupement Défense, est compé-

tente pour les prescriptions de sécurité du DDPS et de l’armée en matière de TIC et vérifie leur application. A cet égard, elle assume, pour l'armée et en partie le DDPS, des tâches très semblables à celles de l’UPIC.