Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI): MELANI a été défini-

tivement instituée par le Conseil fédéral en 2004 et chargée de la protection des infrastructures d’information critiques en Suisse. La coopération, dirigée par l’UPIC (art. 17, al. 1, let. i, OIAF), entre le DFF, le DDPS et les milieux économiques privés aux fins de la protection des infrastructures d’information critiques se fonde sur le modèle du partenariat public-privé. Il s’agit d’une collaboration étroite entre l’administration et des entreprises privées des divers secteurs économiques, qui œuvrent dans le contexte de la sécurité des systèmes informatiques et d’Internet, de même que dans le domaine de la protection des infrastructures critiques suisses.

 Etat-major pour la sûreté de l’information (SONIA): SONIA se réunit lors de crises déclenchées par des

dérangements dans l’infrastructure d’information et de communication. Il regroupe des décideurs de l’administration, des cantons et de l’économie (infrastructures critiques) et est dirigé par le délégué au pilotage informatique de la Confédération. MELANI assure la permanence de SONIA.

 Computer Security Incident Response Team (CSIRT): cet organe, abrité par le DFF/OFIT, veille à la sécu-

rité du réseau civil de la Confédération par le biais de la surveillance, de la prévention et de l’intervention. Il travaille en étroite collaboration avec d’autres partenaires de la Confédération tels MELANI ou fedpol. Ses tâches principales sont les suivantes: observer les menaces actuelles et analyser les fichiers journaux; élaborer des recommandations visant à minimiser les risques, à circonscrire rapidement les dommages consécutifs à des incidents en matière de sécurité des TIC et à protéger les données confiées à l’OFIT (protection opérationnelle des infrastructures TIC centrales de la Confédération).

 Computer Emergency Response Team (MilCERT): le MilCERT est l’homologue du CSIRT pour la sécu-

rité des réseaux du DDPS et de l’armée. Au sein de la Base d’Aide au Commandement (BAC), il est intégré au Centre des opérations électroniques (COE) et peut enquêter en tant qu’unité indépendante sur des incidents relatifs à la sécurité survenant au sein du DDPS et de l’armée.

 Sécurité de l’information et cryptologie (SI crypt): le domaine SI crypt est également rattaché à la

BAC/COE. Ses cryptologues s’assurent de la sécurité des communications de l’armée, du DDPS et d’autres unités de l’administration fédérale en évaluant et en développant eux-mêmes des procédures et des systèmes de cryptage. Ses activités s’étendent de l’évaluation de systèmes cryptologiques de base à l’analyse de fonctions cryptologiques spécifiques, ce qui nécessite des connaissances approfondies de la recherche actuelle en matière de cryptologie.

 Armasuisse, Sciences et technologies (S+T): le domaine Informatique et cyberespace de la S+T procède à

des analyses de risques, à des vérifications de sécurité et à des audits en matière de sécurité organisationnelle et technique de l'information. Les services S+T sont de plus en plus souvent sollicités par les services civils de l’administration fédérale, notamment pour vérifier l’efficacité des concepts de sécurité et les répercussions réelles des mesures de sécurité, et pour procéder à des tests techniques de vérification et de pénétration. Dans ce domaine, S+T assure également un suivi des développements technologiques et de l’évolution de la menace.

1.3.1.4 Comparaison des compétences et des responsabilités

Les trois organisations spécialisées précitées, qui assument toutes des tâches partielles en matière de sécurité de l’information, n’ont qu’un cahier des charges limité. Dans les trois domaines concernés, les départements et la Chancellerie fédérale sont responsables de l’application des prescriptions. De plus, tous les domaines présentent fondamentalement la même structure organisationnelle:

 un organe chargé d’édicter les prescriptions;

 des préposés au niveau des départements/de la Chancellerie fédérale et des unités administratives, et

 un organe supradépartemental de coordination.

Dans leur domaine de spécialisation, les détenteurs des diverses fonctions assument fondamentalement les mêmes tâches. Les seules exceptions significatives sont les organes chargés d’édicter les prescriptions, dont les pouvoirs divergent pour partie sensiblement.

Le tableau ci-dessous donne un aperçu de cette situation. Il inclut les deux autres domaines connexes à la sécurité de l’information, à savoir la sécurité des objets et la gestion des risques.