Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 la gestion du trafic, comme la configuration des éléments du réseau, la réglementation des accès du ma-

nagement, le cryptage et l’authentification, les pare-feu, les accès externes, les accès via les technologies sans fil ;

 l’exploitation du réseau, comme le descriptif détaillé des prestations et le respect des SLA, le monitoring

(surveillance du réseau incluse), la gestion de la mise en service, du changement et du cycle de vie, la gestion des incidents et de la sécurité, la gestion des capacités et des ressources, la gestion des accidents et de la remise sur pied ;

l’établissement de rapports d'audit à l’intention du bénéficiaire de prestations.

Art. 28

Les personnes devant traiter des informations ou utiliser des moyens TIC de la Confédération doivent remplir certaines exigences. Il est de la responsabilité de l’employeur ou du mandant de veiller à ce que respectivement leur personnel ou leurs mandataires remplissent ces exigences.

 Let. a : lors du choix des employés ou des mandataires, les critères de sélection doivent tenir compte du

degré de confidentialité des informations ou de la criticité des moyens TIC que ces personnes devront traiter ou utiliser. Les employeurs et les mandants sont responsables du choix de leur personnel et de leurs mandataires. L’assujettissement d’une personne à un CSP ne la délie pas cette responsabilité.

 Let. b : les autorités et organisations concernées doivent suffisamment instruire les membres de leur per-

sonnel. Dans le domaine de la sécurité de l’information, une formation unique ne suffit pas. Le personnel et les mandataires doivent régulièrement être instruits et sensibilisés à cette problématique. Une attention particulière doit être accordée à la formation des cadres.

 Let. c : lorsque le personnel ou les mandataires doivent traiter des informations soumises à de fortes exi-

gences en termes de préservation de la confidentialité, ils sont tenus au maintien du secret. Le personnel de la Confédération qui est soumis à la LPers doit, en vertu de l’art. 22 de cette même loi, préserver le secret de fonction. Concernant les tiers chargés d’exécuter des mandats pour la Confédération, l’obligation du maintien du secret doit être stipulée contractuellement, de même qu’une énumération claire des conséquences que peuvent entraîner une violation de cette obligation.

Art. 29

Quiconque travaille ou exerce un mandat pour la Confédération doit, selon les circonstances, avoir accès à des informations, des moyens TIC ou des locaux pour effectuer ses tâches. L’al. 1 pose un principe central pour la sécurité de l’information. Le personnel et les mandataires ne doivent obtenir que les autorisations dont ils ont effectivement besoin pour l’accomplissement de leurs tâches. Le risque d’abus peut être sensiblement réduit lorsqu’une personne ne peut pas traiter, sans motif, des informations d’un autre domaine.

L’al. 2 exige une gestion constante de ces autorisations. Il arrive que d’anciens membres du personnel ou mandataires ne reçoivent pas l’ordre de rendre leur clé ou leur badge à l’échéance de leurs rapports de travail, de leur contrat ou à la fin d’une tâche particulière, ou que leur compte d’utilisateur ne soit pas bloqué. De telles autorisations, devenues caduques, peuvent être utilisées par la suite contre les intérêts de l’employeur ou du mandant. Lorsqu’un engagement, un contrat ou une tâche arrive à son terme, les autorisations correspondantes doivent être retirées. Lorsque des indices donnent à penser que la sécurité de l’information est menacée, les autorisations doivent être immédiatement bloquées ou retirées. Ces deux mesures doivent en particulier contribuer à réduire le risque de délits commis au niveau interne.

L’al. 3 exige un processus adapté au contrôle régulier des autorisations.

Art. 30

Les mesures physiques de protection servent à réduire les risques engendrés par des menaces physiques. Les actions répréhensibles commises par l’homme comptent, par exemple, parmi ces menaces, comme l’espionnage, le vol, le vandalisme ou le sabotage. Tombent également dans cette catégorie les dommages provoqués par des éléments comme la chaleur, le feu, l’eau, la poussière, les vibrations, etc. L’évaluation des mesures destinées à la protection physique, appelée protection des objets, relève de la compétence de fedpol, qui agit en collaboration avec l’OFCL. Pour certains domaines du DDPS et de l’armée toutefois, c’est la PIO, en collaboration avec armasuisse et l’OFCL, qui est compétente.

L’al. 1 fixe le principe de base selon lequel les autorités et organisations concernées doivent assurer la protection physique de leurs informations et moyens TIC dans leurs locaux. L’objectif est, en particulier, d’empêcher tout accès non autorisé aux informations et moyens TIC, par exemple par des contrôles d’accès, des caméras vidéo, des systèmes de verrouillage, des locaux et des conteneurs sécurisés, des appareils de