Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

de l’information et présenter un relevé exhaustif des risques résiduels devant être supportés. Idéalement, la préposée à la sécurité de l’information devrait accompagner l’établissement du concept afin de déceler à temps les éventuels problèmes et de les résoudre promptement. Ensuite, l’autorité ou l’organisation concernée doit, elle-même, approuver le concept de sécurité. Cette approbation intervient dès la phase de planification et de conceptualisation, c’est-à-dire avant que le projet TIC n'entre dans sa phase de réalisation, afin de garantir que la direction puisse assumer suffisamment tôt ses responsabilités quant à la sécurité de l’information. La direction ne devrait pas devoir décider uniquement lorsque le moyen TIC est sur le point d’être mis en service (cf. art. 25) et lorsque des moyens financiers considérables ont déjà été engagés.

Al. 3 : le concept de sécurité de l’information n’est pas un document qui doit simplement être établi à une seule occasion - par exemple lors de la planification de l’engagement d’un moyen TIC - pour être ensuite laissé tel quel. Souvent, les mesures prévues ne correspondent pas à celles effectivement prises. C’est pourquoi le concept doit être constamment mis à jour pour qu’il puisse refléter l'état actuel de la sécurité. Il doit également être adapté en cas de modification des risques.

Art. 24

L’al. 1 exige, pour chaque moyen TIC devant être autorisé en vue de sa mise en service, la preuve que la procédure de sécurité s’est déroulée conformément aux prescriptions et que les mesures de la protection de base et, le cas échéant, celles définies dans le cadre du concept de sécurité de l’information ont été appliquées. Les autorités concernées devront décider qui doit effectuer le contrôle de conformité.

Al. 2 : pour les moyens TIC relevant de la catégorie de sécurité "protection très élevée", la loi exige en outre que l’efficacité réelle des mesures prises soit contrôlée. Lors de ce contrôle, le moyen TIC concerné est soumis à de vraies attaques afin d’identifier d’éventuelles lacunes dans la sécurité et des faiblesses exploitables (par ex. par des tests de pénétration). Le but étant, bien sûr, de combler lesdites lacunes avant la mise en service du moyen TIC concerné. Le contrôle d’efficacité n’est exigé que pour les moyens TIC les plus critiques, ceux de la catégorie "protection très élevée", car ils engendrent un coût non négligeable (entre 0,5 et 2% de l’investissement total pour le moyen TIC concerné).

Art. 25

Al. 1 : l’organe de direction de l’autorité ou de l’organisation bénéficiaire des prestations est responsable de la sécurité de l’information. Il lui est donc demandé qu’il autorise lui-même l’engagement de ses moyens TIC du point de vue de la sécurité.

Al. 2 : en délivrant l'autorisation de mise en service relative à la sécurité, l’autorité ou l’organisation signifie qu’elle connaît les risques résiduels identifiés et qu’elle est également prête à les assumer. Si elle estime que ces risques sont encore trop élevés, elle peut refuser de délivrer l'autorisation et exiger l’application de mesures complémentaires visant à les réduire.

Art. 26

Pour que la gestion des risques soit efficace, il est nécessaire d’avoir une vue d’ensemble sur tous les moyens TIC engagés. Les autorités et organisations concernées doivent donc inventorier les moyens TIC qu’elles engagent. La responsabilité de chacun de ces moyens doit pouvoir être imputée à une personne ou à un organe spécifique.

Pour chaque moyen TIC répertorié, l’inventaire doit contenir, entre autres, la catégorie de sécurité, le nom des personnes ou organes compétents, les documents relatifs à la sécurité, ainsi que toutes les informations du système qui sont indispensables à sa remise en service suite à un dérangement ou à une panne.

Art. 27

Les autorités, organisations ou tiers qui exploitent des moyens TIC sur mandat des autorités ou organisations concernées portent la responsabilité du maintien de la sécurité de l’information durant l'exploitation de ces moyens. Les fournisseurs internes de prestations tombent tous dans le domaine d’application de la présente loi et doivent donc aussi appliquer les art. 19 à 26 dans le cadre de leurs activités. Par contre, les fournisseurs externes de prestations sont considérés comme des tiers au sens de l’art. 8 et doivent être tenus contractuellement à respecter les mesures dictées par la présente loi. Les autorités et organisations compétentes qui mandatent l’exploitation de moyens TIC doivent fixer au fournisseur leurs exigences de sécurité en rapport avec les moyens TIC concernés.

Dans le cadre de l’exploitation, le fournisseur de prestations assure, dans le contexte de la sécurité de l’information, les capacités et activités suivantes :

 la gestion du réseau, comme les rôles et les responsabilités, la structure du réseau, les audits de sécurité ;