Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

destruction de documents et de supports de données, des mesures de protection visuelle, etc. Pour prévenir les dommages causés par les éléments, il est par exemple préconisé d’installer des installations d’alarme incendie, d’extinction automatique ou des paratonnerres.

L’al. 2 règle le cas des informations et des moyens TIC accessibles au public. Il s’agit, pour une part, d’informations et de moyens TIC qui sont emmenés hors de leur endroit habituel (bureau) et qui - en dehors du périmètre de sécurité usuel - doivent recevoir une protection adéquate. Il s’agit aussi d’informations et d’installations, de câbles et de conduites d’alimentation qui ne sont pas soumis à un contrôle permanent de l’autorité ou de l’organisation. Une attention toute particulière doit être accordée aux points d’accès, comme les zones de livraison et de chargement.

Art. 31

La LSI utilise la notion de zone de sécurité pour qualifier les locaux et les domaines dans lesquels des informations classifiées CONFIDENTIEL ou SECRET sont souvent traitées ou des moyens TIC des catégories de sécurité "protection élevée" ou "protection très élevée" sont exploités et qui, de ce fait, nécessitent une protection particulière. La délimitation de ces zones ou locaux en zones de sécurité constitue une mesure physique en faveur de la sécurité de l’information ; cette mesure est déjà appliquée pour partie au sein de la Confédération, notamment pour protéger les locaux abritant des serveurs ou certaines salles de conduite. Une zone de sécurité doit être prédéfinie, identifiable et protégée en conséquence. Les dispositions d’exécution du Conseil fédéral définiront vraisemblablement deux sortes de zones de sécurité en tenant compte, pour chacune d’elles, de la criticité des informations ou des moyens TIC. Les mesures à prendre dans ces deux sortes de zones devront être conçues en fonction du risque. Le Conseil fédéral et les organes fédéraux compétents en matière de protection des objets (fedpol, OFCL, PIO, armasuisse) fixeront, en collaboration avec le service spécialisé de la Confédération en matière de sécurité de l’information, des mesures techniques standard pour les zones de sécurité (cf. art. 88).

L’al. 1 fixe, en premier lieu, les conditions permettant de désigner une zone de sécurité selon la LSI : les zones concernées sont celles destinées au traitement très fréquent d'informations classifiées CONFIDEN-TIEL ou SECRET ou à l'exploitation de moyens TIC appartenant aux catégories de sécurité "protection élevée" ou " protection très élevée". Contrairement à la législation d’autres pays ou organisations internationales (cf. également al. 5), les autorités et organisations concernées au sens de la LSI ne sont pas tenues de désigner de tels emplacements comme zones de sécurité. C’est leur appréciation du risque qui décide du besoin effectif de la désignation.

L’al. 2 dispose que seules les personnes identifiées et autorisées peuvent accéder à une zone de sécurité. L’autorisation d’accès doit donc être nécessaire à l’accomplissement d’une tâche précise. Cela exige un contrôle approprié des accès et un protocole des entrées.

L’al. 3 règle les pouvoirs particuliers de l’autorité ou organisation établissant une zone de sécurité:

 Let. a : pour le contrôle d’accès, l’autorité ou l’organisation peut recourir à des méthodes d’identification

biométrique (par ex. empreintes digitales ou lecteur oculaire). Ces méthodes sont sensiblement plus fiables que l’identification par une pièce de légitimation. Elles sont déjà appliquées dans certains domaines.

 Let. b : l’introduction de certains objets dans une zone de sécurité peut être limitée. Les appareils de

prises de vues ou de sons (incl. smartphones ou notebooks avec fonctions correspondantes) exigent généralement une autorisation spéciale.

 Let. c : les domaines des zones de sécurité considérés comme particulièrement importants pour la sécurité

de l’information (par ex. la zone d’accès à un local spécial pour serveurs, le poste de travail de l’administrateur ou la salle des archives contenant des informations classifiées SECRET) peuvent être surveillés en permanence par des appareils vidéo.

 Let. d : à l’entrée ou à la sortie d’une zone de sécurité, l’autorité ou l’organisation peut ordonner un con-

trôle des sacs ou des fouilles de personnes afin d’éviter que des personnes amènent sans autorisation des appareils (cf. let. b) ou repartent avec des informations (par ex. avec une clé mémoire USB).

 Let. e: pour la mise en œuvre efficace des dispositions relatives à la sécurité de l’information, il est éga-

lement nécessaire de pouvoir également contrôler les bureaux dans une zone de sécurité. Lors de ces contrôles, le respect de ce que l’on appelle la "clean desk policy" (la politique du bureau bien rangé) est aussi mis à l’épreuve (aucune information sensible ne doit traîner sur le bureau ou ailleurs, le PC doit être verrouillé ou éteint, les supports de données doivent être mis sous clé, les tiroirs doivent être fermés, la corbeille ne doit pas contenir d’informations classifiées, etc.). Le contrôle peut avoir lieu même en l’absence de la personne concernée, par exemple de nuit.