Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

de traçabilité. Les diverses exigences sont évaluées en fonction d’un préjudice considérable pouvant menacer les intérêts au sens de l’art. 1, al. 2, qui peut apparaître en cas de violation de l’un des quatre critères de protection susmentionnés. En ce qui concerne les informations classifiées CONFIDENTIEL, le préjudice potentiel est déjà sous-entendu dans la définition de l’échelon de classification ("peut nuire considérablement"). Les moyens TIC devant traiter les informations classifiées CONFIDENTIEL appartiennent donc à la catégorie "protection élevée". Cela vaut aussi pour les moyens TIC engagés pour traiter des données personnelles ou des secrets d’affaires ou de fabrication dans la mesure où l’atteinte à la confidentialité de ces informations peut provoquer un dommage considérable pour la Confédération.

 Let. b : moyen TIC peut aussi être classé dans cette catégorie dans la mesure où une panne peut déranger

un processus d’affaires dont l'interruption peut nuire considérablement à la capacité d’agir d’une autorité. La let. b est, de fait, déjà incluse dans la let. a, car les TIC servent uniquement au traitement d’informations et ne visent aucun but qui leur soit propre. Reste que la présente loi reprend le dérangement et l’usage abusif de la capacité de fonctionnement des moyens TIC comme motifs de catégorisation, cette disposition étant ainsi sensiblement plus compréhensible pour de nombreux non-spécialistes.

Al. 3 : les moyens TIC appartiennent à la catégorie de sécurité "protection élevée" lorsque les informations qu’ils doivent servir à traiter ont un très haut besoin de protection en termes de confidentialité, de disponibilité, d’intégrité ou de traçabilité. La structure de cette disposition est identique à celle de l’al. 2; dans ce cas toutefois, le préjudice potentiel requis doit être grave. Il s’agit, par exemple, dans ce cas, de moyens TIC devant servir au traitement d'informations classifiées SECRET ou ceux dont le dérangement peut nuire gravement aux intérêts au sens de l’art. 1, al. 2.

Art. 22

Al. 1 : la pratique a montré qu’avec un certain nombre d’exigences et de mesures de sécurité prédéfinies, il est possible de réduire le risque dans une proportion supportable pour une majorité de moyens TIC. L’ensemble de ces exigences et mesures constituent la protection de base. L’avantage d’une protection de base prédéfinie et standardisée réside dans le fait que les autorités et organisations ne doivent pas effectuer d’analyses du risque détaillées et coûteuses pour les moyens TIC concernés par cette catégorie. Les autorités concernées doivent définir le niveau minimum de sécurité qu’elles veulent obtenir pour tous leurs moyens TIC. La détermination d’une protection de base n’est dès lors pas une opération technique dont la décision incombe à des experts. C’est une tâche de conduite qui suppose de mettre sur la balance les objectifs de sécurité et les coûts engendrés. Selon l’efficacité de la protection de base, les mesures à appliquer, notamment en termes d’organisation et de personnel, ainsi que les mesures techniques et physiques, peuvent en effet être plus ou moins chères.

L’al. 2 fixe le principe selon lequel tous les moyens TIC, indépendamment de la catégorie de sécurité qui leur est attribuée, doivent remplir les exigences de la protection de base. La protection de base est donc aussi définie comme une fondation sur la base de laquelle les moyens TIC des catégories de sécurité "protection élevée" et "protection très élevée" doivent reposés. Les mesures applicables à la protection de base doivent donc être relativement souples et modulables: si certaines mesures ne sont pas applicables pour un moyen TIC en particulier, d’autres mesures permettant une protection équivalente doivent être prises.

Art. 23

Al. 1 : pour les moyens TIC concernés par les catégories "protection élevée" et "protection très élevée", les exigences et les mesures de sécurité de la protection de base sont insuffisantes. Pour de tels moyens, il est nécessaire de procéder, dans un premier temps, à une analyse du risque quant au moyen TIC concerné. Le point d’orgue de cette analyse réside dans la protection des critères soumis à des exigences élevées de protection. Lorsqu’un moyen TIC atteint la catégorie "protection élevée" en raison d’exigences élevées en ce qui concerne sa disponibilité alors que sa confidentialité n’est soumise à aucune exigence particulière, l’analyse du risque se concentre en priorité sur sa disponibilité. Une fois l’analyse du risque terminée, un concept de sécurité de l’information doit être établi. La responsabilité en incombe au bénéficiaire de prestations ; une collaboration étroite avec le fournisseur de prestations est néanmoins nécessaire. En principe, l’application des mesures techniques relève du domaine de compétence des services qui exploitent les moyens TIC et qui, dès lors, détiennent le savoir-faire sur le plan technique.

L’al. 2 détermine les responsables de l’examen et de l’approbation du concept de sécurité de l’information. Afin d’assurer que ce concept soit contrôlé par un personnel spécialisé, la loi exige que cet examen soit effectué par le préposé à la sécurité de l’information compétent (art. 84). Sa tâche est de vérifier que le concept de sécurité réponde bien aux exigences formelles et techniques, ainsi qu'à celles de l'autorité ou de l'organisation concernée, de sorte à ce que le concept décrive la situation effective dans laquelle se trouve la sécurité