Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Prescriptions Dép. / ChF Unité administrative Coordination

Protection des infor- CSG Préposés à la protection Préposés ou conseillers à KOAISchB/KISchB mations des informations la protection des informa-

tions

Protection des don- PFPDT Conseillers à la protec- Conseillers à la protec- Groupe Protection des nées tion des données tion des données données

Sécurité TIC CF / UPIC Délégués à la sécurité Délégués à la sécurité UPIC-Sec / C-SI

informatique informatique

Sécurité des objets fedpol / SFS Préposés à la sécurité Préposés à la sécurité Comité de coordination

de la sécurité

Gestion des risques CF / CSG Gestionnaires des risques Responsables de la ges- Organe de coordination

tion des risques AFF

1.3.1.5 Lacunes organisationnelles

L’organisation actuelle présente de nombreuses lacunes et de nombreux points faibles:

 Les compétences des divers domaines ne sont pas toujours clairement définies et les intersections entre

les secteurs spécialisés de la sécurité de l’information ne bénéficient pas d’une attention suffisante.

Le manque de clarté en matière de compétences se constate à tous les niveaux. Lorsque des données personnelles sensibles ou des informations classifiées à partir du niveau CONFIDENTIEL doivent être traitées de manière électronique, l'élaboration d'un concept de sécurité de l'information et de protection des données est requis. S’agit-il d’une question de protection des données, de protection des informations ou de sécurité en matière de TIC, et qui est compétent pour l'évaluation correcte du besoin de protection des informations et le contrôle de l’application des mesures prévues? La protection des câbles d'un réseau informatique relève-t-elle de la sécurité informatique ou de la protection des objets? La destruction des documents concerne-t-elle la protection des informations, la protection des données ou la sécurité physique, et qui définit les exigences correspondantes ? Qui est compétent pour leur mise en œuvre? Une clé USB est-elle un support d’informations au sens de l’OPrI ou un moyen TIC au sens de l’OIAF?

Les problèmes évoqués peuvent également avoir des répercussions directes au plan international. En raison du manque de clarté en matière de compétences et de responsabilités au sein de l’administration fédérale, il n’a par exemple jamais été possible de trouver une solution au problème de la transmission électronique d’informations classifiées avec l’UE. Ainsi, même les informations du plus faible échelon de classification de l’UE sont-elles aujourd’hui encore échangées exclusivement sur support papier. Des problèmes semblables se posent dans la coopération avec l’Agence spatiale européenne (ASE): dans ce cas, la question de savoir qui est compétent pour la sécurité des communications (COMSEC⁷) n’a pas encore trouvé de réponse. Or, cette question a une importance considérable pour le succès de la participation d’institutions et entreprises suisses aux activités de l’ASE. On attend encore une solution.

Les domaines spécialisés sont également tenus de prendre des mesures de sensibilisation et de formation. Malgré leurs contenus semblables, les mesures de sensibilisation et de formation des divers services ne sont souvent pas coordonnées.

 Trop d’acteurs ne disposent que de connaissances spécialisées insuffisantes ou de trop peu de ressources

en personnel. Pour partie, les ressources existantes sont mal utilisées, et la masse critique n’est atteinte nulle part.

Les cahiers des charges des préposés des divers domaines évoqués contiennent généralement d’autres tâches que celles liées à la sécurité de l’information. Ils ne peuvent réserver qu’une faible part de leur temps de travail aux tâches de sécurité de l’information, qui constituent alors une sorte d’activité accessoire. Ils ne disposent dès lors souvent pas ou plus des connaissances spécialisées requises, ce qui a un effet direct important sur la sécurité. Dans les domaines de la protection des informations et de la protection des données, les tâches sont assumées principalement par des juristes qui ne sont généralement que peu familiarisés avec les besoins de la sécurité informatique. Ils tendent, par conséquent, à aborder les problèmes sous le seul angle juridique et ne sont souvent pas en mesure d’accompagner ou de surveiller la mise en œuvre des exigences de sécurité dans des projets TIC. La situation est inverse en ce qui concerne