Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

tidien. Les applications informatiques et les logiciels de sécurité doivent donc faire l’objet de mises à jour rapides.

Selon l’al. 2, les mesures nécessaires de prévention ou de réduction des risques doivent être prises. Bien entendu, des risques peuvent également être pris en compte ou supportés (cf. al. 3). Ils ne devraient cependant pas être ignorés. Les risques peuvent être évités dans la mesure où il est possible de renoncer totalement à une activité trop risquée (par ex. renoncer à un projet informatique pour lequel l’application de mesures de prévention des risques n’est économiquement pas justifiable ou interdire le traitement d’informations classifiées SECRET par des moyens TIC en réseau). Les mesures à prendre sont subdivisées en diverses catégories (cf. ci-après) qui se recoupent parfois:

 Mesures organisationnelles. Par exemple, l’édiction de bases juridiques, la fixation de la politique et de

l’organisation de la sécurité, l’attribution de responsabilités et de compétences claires, la classification des informations, la séparation des fonctions sensibles, la réglementation et les contrôles des accès pour les personnes, les contrôles d’ordre général, la réglementation des accès aux systèmes, la création de concepts de sécurité pour les moyens TIC critiques, l’organisation du traitement des incidents.

 Mesures relatives aux personnes. Par exemple, la formation et la sensibilisation, l’obligation contractuelle

de respecter la sécurité de l’information, la réalisation de CSP, les entretiens personnels menés régulièrement avec les personnes-clés en vue de favoriser leur prise de conscience face à certains dangers, la formulation et l’application de sanctions.

 Mesures techniques. Par exemple, le cryptage des informations, la redondance des services importants, la

protection contre les logiciels malveillants, l’authentification forte, la protection des accès aux réseaux.

 Mesures relatives aux constructions. Par exemple, la mise en place d’un périmètre de sécurité,

l’utilisation de systèmes de fermeture de sécurité, l’établissement de zones et de locaux de sécurité, le recours à des installations de surveillance.

L’al. 3 dispose que les risques subsistant après l’application des mesures de sécurité prévues (appelés risques résiduels) ou les risques ne devant pas être minimisés soient clairement annoncés. Les décideurs doivent être pleinement avisés de ces risques et de leurs conséquences potentielles afin de pouvoir peser les intérêts correspondants (sécurité et coûts). Les risques résiduels doivent être clairement acceptés et supportés.

L’al. 4 précise que la gestion des risques dans le domaine de la sécurité de l’information doit impérativement être intégrée à tous les niveaux dans le processus général de gestion des risques de la Confédération. Même si le processus de gestion présentement exigé a un caractère spécifique et doit donc être géré et exploité par des spécialistes, la sécurité de l’information reste une préoccupation relevant de la gestion des risques d'affaire usuels. Les autorités concernées doivent donc régler la collaboration entre l’organisation spécialisée chargée de la gestion générale des risques et celle chargée de la sécurité de l’information.

Art. 7

L’al. 1 exige que les autorités et les organisations fixent leurs exigences et mesures de sécurité en s'inspirant des exigences et mesures standard au sens de l’art. 88. Les autorités et organisations qui ne sont pas subordonnées au Conseil fédéral ne sont pas tenues de suivre ces standards. Etant donné qu’un des objectifs importants de cette loi est d’obtenir, autant que possible, de toutes les autorités l’application des normes de sécurité équivalentes, le Conseil fédéral est tenu de fixer des exigences et des mesures standard en fonction de l’état d’avancement des connaissances et de la technologie. Pour répondre au principe d'efficience économique, la loi cherche à éviter que chaque autorité ou organisation réinvente la roue lorsque, pour un problème similaire, une autre autorité ou organisation a déjà développé ou trouvé une solution efficace.

Al. 2 : les mesures de sécurité doivent être prises en fonction de l’état d’avancement des connaissances et de la technologie. La sécurité de l’information est un domaine relativement nouveau qui évolue rapidement. Même si les principes d’organisation en matière de sécurité de l'information ont atteint un certain stade de stabilité et de maturité du fait qu’ils correspondent aux principes généraux d’organisation appliqués dans le domaine de la gestion des risques, de meilleures mesures organisationnelles, plus efficaces et plus économiques, sont régulièrement développées. En fonction de l’état d’avancement des connaissances signifie donc, dans le contexte du présent alinéa, que les autorités et organisations concernées doivent adopter des solutions et des approches de nature organisationnelle qui ont fait leurs preuves (best practices).

L’évolution est très rapide dans le domaine technique de la sécurité de l’information, en particulier au niveau des moyens TIC, mais également dans celui de la sensorique (par ex. détecteurs de feu, de chaleur ou de mouvements), ou dans les techniques de verrouillage (par ex. systèmes de verrouillage des portes). Il est très important que les mesures de sécurité ne soient pas issues de technologies surannées, mais montrent leur efficacité face aux menaces actuelles.