Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

termination du but de l’engagement des moyens TIC, les processus d’affaires qui doivent être appuyés par les moyens TIC concernés et à identifier les informations que ces derniers serviront à traiter. Lors de cette phase - soit la phase de planification -, le bénéficiaire de prestations doit évaluer le besoin de protection des informations conformément à l’art. 4, al. 1, ainsi que les effets potentiels d’un dérangement ou d’un usage abusif des moyens TIC concernés sur les intérêts visés à l’art. 1, al. 2. Lors de l’évaluation du besoin de protection, il convient également de tenir compte du fait que les moyens TIC s’insèrent et sont exploités, dans la plupart des cas, dans un environnement technique et/ou logique (appelé architecture) donné. L’identification en temps opportun des interrelations et des interdépendances contribue également à l’application des mesures de sécurité là où elles sont le plus efficace.

A l’heure actuelle, soit on néglige parfois d’évaluer le besoin de protection, soit on ne le fait que lorsque les moyens TIC sont déjà en service. L’application a posteriori de mesures de sécurité est généralement bien plus complexe et peut engendrer des coûts sensiblement plus élevés.

L’analyse du besoin de protection fait ressortir les exigences liées à la protection de la confidentialité, de la disponibilité, de l’intégrité et de la traçabilité des informations, ainsi que celles liées à la disponibilité et à l’intégrité des moyens TIC. Cette analyse est aussi déterminante pour la détermination de la catégorie de sécurité afférente aux moyens TIC au sens de l’art. 21.

L’al. 2 règle le cas d’une autorité ou organisation qui entend recourir à de nouvelles technologies (matériels informatiques et logiciels), et donc pas uniquement à de nouveaux moyens TIC. En pareille situation, l’autorité ou organisation concernée doit évaluer les risques liés à l’engagement de cette nouvelle technologie avant de l'engager. L’alinéa précise également que l’autorité ou organisation doit communiquer leur évaluation des risques au service spécialisé de la Confédération en matière de sécurité de l'information. L’information donnée à ce service doit garantir que l'appréciation du risque relatif à ces nouvelles technologies n'est conduite qu'une fois et que les autorités et organisations concernées peuvent en tirer profit. La communication de l’évaluation des risques doit aussi servir à contrôler la conformité des nouvelles technologies aux bases existantes, et même stratégiques.

Les autorités concernées ont la possibilité, en vertu de l’art. 86, al. 1, let. d, de charger le service spécialisé de la Confédération de l’évaluation des risques.

Art. 21

L’art. 21 systématise et unifie, pour les autorités et organisations concernées, les catégories de sécurité relatives aux moyens TIC. Les dispositions en vigueur de l’administration fédérale ne prévoient que deux catégorie de besoin de protection : un besoin général et un besoin élevé. Le nouveau modèle à trois niveaux s’inspire du standard de l’office fédéral allemand chargé de la sécurité informatique (BSI).

Les catégories de sécurité sont avant tout une mesure visant à identifier, sous l’angle des intérêts publics au sens de l’art. 1, al. 2, la criticité d’un moyen TIC déterminé. L'attribution à une catégorie de sécurité permet aussi de savoir quelles exigences de sécurité sont applicables et comment les mesures de sécurité doivent être définies (cf. art. 22 à 24). Pour chaque catégorie de sécurité, le Conseil fédéral doit fixer des exigences et des mesures standard en rapport avec la protection de la confidentialité, de l’intégrité, de la disponibilité et de la traçabilité (cf. art. 88). La standardisation des exigences et des mesures de sécurité est absolument indispensable pour assurer un échange aussi sûr qu’efficace entre autorités. Ses avantages sont significatifs : des exigences claires en matière de sécurité sont d’emblée imposées aux organes de développement et d’acquisition de moyens TIC ; elles leur permettront de savoir immédiatement quelles exigences de sécurité doivent être remplies, ce qui leur simplifiera la tâche lors de la mise en place des mesures de sécurité techniques. Il sera également possible de calculer et de planifier plus simplement et avec une plus grande transparence les coûts liés à la sécurité (les coûts de la sécurité sont les coûts des projets).

Al. 1 : la catégorie de sécurité "protection de base" s'applique aux moyens TIC ne devant pas satisfaire à des exigences de sécurité particulièrement élevées (cf. également art. 22). Les données personnelles, les informations classifiées INTERNE et d’autres informations devant être protégées quant à leur confidentialité, mais ne nécessitant pas une protection particulièrement élevée, peuvent être traitées avec les moyens de cette catégorie.

Al. 2 : pour les moyens TIC de la catégorie de sécurité "protection élevée", des exigences et des mesures de sécurité particulières sont applicables en sus des exigences liées à la protection de base, par exemple l’obligation d’établir un concept de sécurité de l’information et l’assujettissement à un CSP des personnes exploitant, gérant, entretenant ou contrôlant de tels moyens.

 Let. a : les moyens TIC sont classés dans cette catégorie lorsque les informations qu’ils doivent servir à

traiter présentent un besoin de protection élevé en termes de confidentialité, d’intégrité, de disponibilité et