Rapport sur les résultats

[Geben Sie Text ein]

Clusis se demande, pourquoi l’analyse du risque et le concept de sécurité ne sont établis que pour les moyens des catégories de sécurité «protection élevée et protection très élevée»? L’analyse de risque devrait précéder les mesures de sûreté que l’on prendra, alors, selon les catégories.

Comme aucune notion n’a été préalablement définie, insecor ne comprend pas clairement ce qu’il faut entendre par «concept de sécurité de l’information». S’agit-il de ne prendre en considération que la sécurité de l’information? Qu’est-ce que cela signifie exactement? La protection des données n’est-elle plus concernée par cette obligation comme le prévoit HERMES, la méthode de gestion de projet pour les systèmes d’information, respectivement les «concepts ISDS»?

Le Conseil des EPP rappelle que quelques institutions disposent d’ores et déjà actuellement d’un concept de sécurité de l’information.

Art. 24 Contrôles de conformité et d’efficacité

Privatim propose que les contrôles de conformité et d’efficience prévus par l’art. 24 LSI soient assortis de conséquences. Privatim est d’avis qu’il convient de régler ou tout au moins d’expliquer dans le message si, outre l’efficience, on ne devrait pas aussi examiner l’effectivité des mesures décidées et mises en œuvre (cf. à ce sujet l’art. 4, al. 4, LSI). Privatim estime ainsi qu’il s’agit de déterminer ce qu’il advient si les résultats de ces contrôles sont ignorés.

De l’avis de LB, les exigences posées quant à la sécurité des moyens TIC devraient également être remplies lorsqu’on met en œuvre des produits certifiés. Pour de tels produits certifiés d’après des normes de sécurité reconnues sur le plan international comme les «Common Criteria» et en vertu d’un procédé défini, on ne devrait pas imposer un contrôle de conformité et d’efficacité supplémentaire. En revanche, l’obligation de dresser un inventaire des moyens d’information et de communication engagés devrait avoir des conséquences considérables sur les charges organisationnelles et administratives, étant donné le constant changement des moyens engagés et la proportion croissante de terminaux privés utilisés professionnellement.

Art. 25 Autorisation relative à la sécurité

TG ne comprend pas pourquoi, en délivrant l’autorisation relative à la sécurité, l’autorité ou l’organisation accepte les risques résiduels. Pour que l’on ne contourne pas de manière inconsidérée les autorisations relatives à la sécurité, TG préconise dès lors de renoncer totalement à l’al. 2. Si le législateur mentionne, à l’art. 23 du projet de LSI, qu’il y a lieu d’actualiser au fur et à mesure le concept de sécurité, il n’est pas adéquat d’annoncer, deux articles plus loin et par analogie, que dans les autorisations relatives à la sécurité, il n’est plus nécessaire de penser aux risques résiduels et qu’il faut simplement les accepter. TG plaide donc pour que soit purement et simplement supprimée la disposition selon laquelle les risques résiduels peuvent être acceptés. En effet, si cette disposition est maintenue, on court le risque que d’aucuns recourent aux technologies d’information et de communication à la légère et de manière inconsidérée si, aux termes de cette disposition de LSI, on peut se fonder sur l’autorisation et ainsi ne pas devoir davantage penser aux risques.

Art. 27 Sécurité durant l’exploitation

Pour VD Il serait utile de préciser que la sécurité traite des quatre critères de confidentialité, d’intégrité, de disponibilité et de traçabilité.

La notion de stockage et sauvegarde, en regard de l’accès octroyés aux techniciens semble tacite, à l’avis de la FER. En vue des actes de vol constatés, ces deux points pourraient être abordés.

Art. 28 et 29 Mesures relatives aux personnes

Quid d’une différentiation quant aux mesures préventives et celles curatives ? La section 4, contenant les articles 28 et 29 pourrait être intitulées «Mesures préventives relatives aux personnes».