Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

ponsabilités dans l’application de la présente loi. Un manque de clarté dans l’attribution de ces compétences peut aboutir au fait que des risques importants peuvent ne pas être identifiés, que personne ne se sente responsable de l’application de certaines mesures de sécurité et que personne n’assume consciemment le risque.

L’al. 3 charge les autorités de fixer, pour leur propre domaine de compétence, certains principes devant permettre de faire connaître les intentions de l’autorité concernée à propos de la sécurité de l’information.

 Let. a : les objectifs des autorités concernées quant à la sécurité de l'information déterminent le niveau de

sécurité qui doit être atteint (niveau exigé de sécurité de l'information). Ces objectifs impliquent une analyse coût-utilité (quelle sécurité les autorités veulent-elles et à quel prix) et doivent être déterminants pour l'attribution des ressources nécessaires. Exemple: les secrets d’affaires des tiers qui doivent être traités par les autorités ou les organisations de la Confédération doivent être protégés de toute divulgation non autorisée. Si ces informations doivent être protégées contre les services de renseignement les plus actifs et les mieux fournis du monde, alors les mesures de sécurité nécessaires pour atteindre ce niveau de sécurité seront sensiblement plus coûteuses que celles prises lorsque les autorités acceptent le risque relativement élevé de voir ces services de renseignement étrangers acquérir ces informations. Ces objectifs quant à la sécurité de l'information sont également déterminants pour l'évaluation de l'efficacité des mesures de sécurité (cf. art. 24, al. 2).

 Let. b : chaque autorité concernée doit, en particulier, régler la façon dont les organisations subordonnées

doivent aborder les risques, déterminer les risques qui peuvent sans autres être supportés et ceux qui doivent être rapportés aux autorités elles-mêmes. Même si la plupart des risques pour la sécurité de l’information peuvent être traités et assumés au niveau opérationnel (département, office, voire unité subordonnée), certains peuvent avoir une portée stratégique. C'est en particulier le cas des risques liés aux informations classifiées SECRET (art. 14, al. 3) ou aux moyens TIC de la catégorie de sécurité "protection très élevée" (art. 21, al. 3). Les risques stratégiques devraient être communiqués aux autorités concernées avant qu'un incident n'ait lieu.

 Let. c : il n’est pas une organisation qui ne compte, parmi ses membres, des personnes qui ne prennent

pas au sérieux la sécurité de l'information et qui utilisent les moyens TIC mis à leur disposition négligemment ou en enfreignant les consignes de sécurité. Très souvent, de tels manquements sont a priori excusés et n’entraînent dès lors aucune investigation. Ils peuvent néanmoins avoir d’importantes répercussions. Ils ne devraient donc pas être considérés comme des infractions bénignes. Les autorités concernées doivent ainsi appliquer les consignes de manière conséquente et indiquer, en les expliquant, les suites de leur violation.

Al. 4: les autorités concernées doivent veiller à informer régulièrement, et en fonction des niveaux de responsabilité, les cadres et le personnel à propos des affaires en lien avec la sécurité de l’information. Il s’agit, par exemple, de communiquer les modifications apportées à la réglementation relative à l’organisation et aux compétences, ou d’informer les cadres et les spécialistes des causes et des conséquences d’un incident. Une information régulière est donc nécessaire car elle permet aux cadres et au personnel de comprendre l’attitude des organes de direction vis-à-vis de la sécurité de l’information et de pouvoir réagir face aux changements. Elle leur permet aussi de tirer les enseignements des incidents survenus dans leur domaine de compétence. Les cadres et le personnel doivent donc aussi être instruits en conséquence.

Art. 6

L’art. 6 impose aux autorités et aux organisations l’instauration d’un système de gestion des risques dans le domaine de la sécurité de l’information (concernant la gestion des risques, cf. ch. 1.2.3.2).

L’al. 1 dispose que les autorités et organisations concernées doivent identifier, évaluer, juger et vérifier les risques, et ce tant dans leur propre domaine de compétence que dans le cadre de leur collaboration avec les tiers. Idéalement, ces autorités et organisations devraient toutes recourir aux mêmes méthodes. Dans ce domaine, le Conseil fédéral fixera des exigences et des mesures standard (art. 88), en étant conscient que les critères établis pour l’acceptation du risque - qui sont déterminants pour l’évaluation des risques - sont déterminés par les diverses autorités en fonction de leur besoin propre en matière de sécurité de l’information (cf. également art. 5, al. 3, let. a et b).

L’évaluation des risques implique des connaissances approfondies des tâches légales et des processus critiques d’affaires qui en découlent, une méthode d’appréciation des menaces et des dangers appliquée régulièrement aux valeurs à protéger, l’analyse des points faibles, ainsi que l’estimation de la probabilité de survenance d'un évènement et de l’étendue potentielle du dommage lié à cet évènement. Dans le domaine de la sécurité de l’information, la gestion des risques doit être un processus permanent. C’est tout particulièrement vrai pour le domaine de l’informatique dans la mesure où des logiciels malveillants sont développés au quo-