Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

taines informations peuvent justifier des exigences accrues quant à la protection de leur intégrité ou de leur disponibilité, sans pour autant que de telles exigences figurent explicitement dans la législation, notamment lorsque ces informations doivent impérativement être exactes ou disponibles pour l’accomplissement des tâches d’une autorité. Cela concerne plus particulièrement les informations et les moyens TIC qui soutiennent ses processus critiques des autorités. Le besoin de protection ressort donc aussi de l’importance de l’accomplissement de la tâche légale où les informations sont utilisées ou servent à l’étayer.

Al. 3 : la protection de la disponibilité et de l’intégrité des moyens TIC complète notablement les quatre critères évoqués permettant une protection intégrale des informations. Bien qu’émanant en principe déjà de l’al. 2, let. b et c, l’exigence d’une protection adéquate face aux abus et aux dérangements est, une fois encore, expressément mentionnée, car l’appui TIC aux processus d’affaires ne cesse de gagner en importance. Désormais, son bon fonctionnement est une condition sine qua non de l’accomplissement efficient des tâches des autorités fédérales.

Al. 4 : la sécurité de l’information doit être axée sur les risques, efficace et économiquement rationnelle. Une appréciation aussi objective que possible des risques est déterminante pour l’application adéquate des mesures de sécurité (cf. art. 6 et 7). Il va de soi qu’une sécurité absolue est un idéal inatteignable et que le coût de l’élimination des lacunes mineures qui subsistent au niveau de la sécurité peut être disproportionné. Les autorités et organisations compétentes doivent donc veiller à ce que leurs mesures soient appropriées et efficientes. Les échelons hiérarchiques sont ainsi tenus, dans leur suivi des mesures de protection, d’évaluer le rapport coût/utilité de la sécurité.

Dans ce contexte, le principe de simplicité d'emploi pour les utilisateurs est également au programme. Les personnes traitant les informations ou utilisant des moyens TIC doivent souvent respecter certaines prescriptions comportementales pour maintenir la sécurité de l’information (par ex. obligation de fermer à clé la porte du bureau ou de crypter un message électronique). Mais force est de constater que si les mesures de sécurité entravent trop le personnel dans l’accomplissement de ses tâches, il est fort probable qu’elles ne vont pas être respectées ou seront intentionnellement contournées.

Art. 5

La sécurité est l’affaire du chef. L’art. 5 décrit le contenu des responsabilités majeures au plus haut niveau dans le domaine de la sécurité de l’information. Il ne s'adresse donc qu'aux autorités concernées (art. 2, al. 1) qui seules supportent ces responsabilités.

L’al. 1 exige des autorités concernées qu'elles organisent la sécurité de l’information dans leur domaine de compétence.

 Let. a : la sécurité de l’information doit être organisée, mise en œuvre et contrôlée en fonction de l’état

d’avancement des connaissances et de la technologie. Plusieurs standard non contraignants formulent ce qui est communément appelé de bonnes pratiques dans la gestion de la sécurité de l’information (par ex. norme DIN ISO/IEC 27’001 et 27’002). Ces derniers sont particulièrement importants parce qu'ils ont été testés pratiquement et qu’ils répondent aux exigences d’une approche intégrale. De plus, ils définissent des exigences quant à l’application de mesures de sécurité pouvant répondre adéquatement aux besoins des autorités et organisations.

Les autorités de moins grande ampleur (par ex. Tribunal fédéral des brevets, Tribunal militaire de cassation et autorité de surveillance du Ministère public de la Confédération) ne pourront naturellement pas, à elles seules, constituer une telle organisation. Cependant, la loi permet, par exemple, que les tribunaux fédéraux décident de mettre sur pied une seule organisation commune tout en conservant l’indépendance des divers tribunaux.

 Let. b : la mise en œuvre de la sécurité de l’information concerne de nombreux domaines spécialisés, par

exemple celui des finances (effets de l’organisation et des mesures sur les finances), les services du personnel (tâches relevant du domaine du personnel), les domaines du droit et de la compliance (bases juridiques de la sécurité de l’information), l’informatique (influence de la sécurité de l’information sur l’engagement des TIC et concrétisation des exigences au niveau des systèmes TIC) et le domaine de la gestion des risques et du controlling (sécurité de l’information comme élément constitutif de la gestion des risques). Pour assurer une sécurité efficace de l'information, il est donc nécessaire que ces domaines spécialisés évoqués comprennent les besoins liées à la sécurité de l’information, qu’ils participent aux processus de décision y relatifs et qu’ils coordonnent entre eux la mise en œuvre des mesures prises.

Al. 2 : pour la sécurité au sens général, il est important que les tâches et les compétences soient clairement réglées. Cela concerne en particulier la sécurité de l’information dans la mesure où de nombreux domaines spécialisés fixent des exigences pour un traitement sûr des informations ou vont assumer une partie des res-