Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

les spécialistes de la sécurité informatique: leurs connaissances en matière de protection des informations et de protection des données sont souvent lacunaires.

Ce constat vaut également pour les services spécialisés: presque tous sont sous-dotés en personnel au regard des tâches confiées. Là encore, la masse critique n’est jamais atteinte. De plus, pour partie, leurs connaissances spécialisées dans les autres domaines sont insuffisantes. Par ailleurs, et notamment dans le domaine de la sécurité informatique, on trouve de nombreux services chargés de tâches complémentaires à celles des autres services. Ces tâches et services ne sont toutefois pas coordonnés, voire ne sont pas sollicités du tout (par ex. les services des cryptologues du DDPS).

Les spécialistes de la sécurité de l’information, que ce soit dans le domaine technique ou dans celui de la gestion, sont à l’heure actuelle plus demandés que jamais. La Confédération dispose de tels spécialistes, mais nombre d’entre eux n’assument pas à plein temps leurs tâches liées à la sécurité de l’information. On doit dès lors se demander si ces ressources rares sont vraiment engagées à bon escient.

 Les pouvoirs des divers acteurs sont souvent insuffisants.

Un constat particulièrement inquiétant est que la mise en œuvre des mesures décidées en matière de sécurité de l’information n’est que très rarement vérifiée. En règle générale, ni les services spécialisés ni les préposés ne sont habilités à mener des contrôles. Or, sans contrôle, il est impossible de déterminer l’efficacité des mesures ou l’existence de lacunes et de points faibles.

 La conscience du besoin en sécurité est lacunaire.

Les départements et la Chancellerie fédérale accordent une importance très variable aux thèmes de la sécurité de l’information. Pourtant, l’engagement des cadres, et notamment de la direction, est essentiel pour la sensibilisation des collaboratrices et collaborateurs.

1.3.1.6 Appréciation de la situation et conséquences

L’organisation actuelle s'est mise en place, au fil des ans, en fonction de besoins juridiques et matériels sectoriels. Durant de longues années, ses résultats étaient satisfaisants. L’évolution vers une société de l’information a toutefois complexifié et dynamisé les menaces qui pèsent sur l'information et les moyens TIC. Il est nécessaire d’affronter ces dangers de manière intégrale et coordonnée, ce qui implique des mesures sur les plans juridique et organisationnel, de même que des connaissances et compétences approfondies. Il est indubitable que l’organisation actuelle au sein de la Confédération ne répond pas à ces exigences.

Les aspects suivants sont importants pour améliorer l’organisation:

 la responsabilité de la mise en œuvre des prescriptions doit rester auprès de la ligne, et cette dernière doit

être conseillée et assistée de manière plus compétente à tous les niveaux;

 la future organisation de la sécurité de l’information devra davantage se concentrer sur la détection pré-

coce et la gestion des risques. La condition sine qua non en est non seulement une gestion systématique des risques dans le domaine de la sécurité de l’information, qui fait aujourd’hui largement défaut, mais également un meilleur contrôle de l’application des mesures destinées à réduire les risques;

 les divers organes spécialisés doivent être regroupés dans la mesure du possible, afin de pouvoir exploiter

les synergies et les économies d’échelle. Cela doit également permettre de régler les problèmes de compétences sur le plan systémique et de renforcer le savoir interdisciplinaire. Un regroupement complet est toutefois impossible: il faut donc d’une part définir plus clairement les compétences et les responsabilités respectives, et d’autre part renforcer la coordination et l’échange de connaissances;

 pour ce qui est des divers préposés, leurs compétences peuvent être renforcées par une professionnalisa-

tion plus marquée. Le professionnalisme pourrait être amélioré si l’on concentrait les diverses tâches de gestion de la sécurité de l’information auprès d’un petit nombre de personnes;

 la séparation et l’attribution des fonctions méritent une attention particulière. Les préposés ne devraient

pas être rattachés à un domaine spécialisé dont ils doivent évaluer les risques de manière objective et en toute indépendance. Ils ne devraient pas non plus assumer des tâches susceptibles de générer des conflits d’intérêts.

Les considérations qui précèdent répondent sur le fond à la question de l’opportunité de fusionner les trois comités existants. Il est toutefois évident que le regroupement préconisé n’empêchera nullement de traiter les divers thèmes (classification, protection des données ou sécurité technique) de manière spécifique. Il con-