Rapport sur les résultats

définit pas de système de gestion de la protection des données. Il conviendrait donc de reformuler cette disposition, car la phrase prête à confusion.

4.2.2/4.2.3 : ISSS écrit qu’il convient aussi, par le biais des ch. 4.2.2.3.1 – 4.2.2.3.3 et 4.2.2.3.5, de demander les composantes pour les disciplines spécifiques d’ICT, telle que sécurité contre les attaques, sécurité contre les pannes d’exploitation et back-up du système et des données, cela aux fins de l’Awareness et pour servir de base au Management Review et aux audits/certifications. Il propose les adjonctions suivantes pour les chiffres susmentionnés : ch. 4.2.2.3.1 : « hardware (inventaire des dispositifs de stockage des données, serveurs, systèmes de back-up, fonctions de sécurité) ; ch. 4.2.2.3.2 : logiciels (software) (inventaire de systèmes d’exploitation et d’application EPD, endpoint protection, back-up, monitoring, gestion des mises à jour et des patchs) ; ch. 4.2.2.3.3 : ensemble de données (description de la conservation des données, de l’organisation des données, de la sécurité des données, autorisations) ; ch. 4.2.2.3.5 : processus (du système de gestion de protection et de sécurité des données, en particulier aussi pour les scénarios de pannes, reprises, tests, audits, responsabilités). Concernant le ch. 4.2.2.3, La Poste demande si l’inventaire comprend l’ensemble des systèmes primaires connectés ou s’il ne s’agit ici que des composants centraux. Elle demande donc que le champ d’application des CTO soit clairement défini. SQS déplore que les dispositions énoncées aux ch. 4.2.2 et 4.2.3 n’aient pas de congruence avec l’art. 11 ODEP. Il convient dès lors soit de compléter l’art. 11 ODEP, soit d’adapter les deux chiffres en question. À propos du ch. 4.2.2.3, SQS relève que l’inventaire dans la norme ISO/IEC 27001:2013 ne concerne pas que les équipements d’exploitation. Cette norme parle des actifs (assets) et valeurs de l’organisation. En font aussi partie, par exemple, les collaborateurs. En outre, l’organisation structurelle n’est pas analysée de manière suffisamment détaillée. SQS propose dès lors l’énoncé suivant : « Un inventaire actuel des valeurs suivantes de l’organisation ». En conséquence, il convient également d’adapter le ch. 4.2.3 : « […] apportés aux valeurs de l’organisation qui ont une incidence […] ».

4.3 Responsable de la protection et de la sécurité des données (al. 1, let. a)

Vingt participants¹¹¹ sont d’avis que l’on peut fort bien renoncer à instituer des responsables de la protection et de la sécurité des données. Quatorze participants¹¹² ajoutent que le gain en sécurité par de tels responsables n’apparaît pas clairement, sans parler du coût élevé de l’aménagement de tels postes. ZAD, la CDS et huit cantons¹¹³ signalent que les dispositions des CTO divergent de la partie du rapport explicatif traitant de l’art. 11 ODEP, qui évoque une « indépendance technique et organisationnelle » du responsable de la protection des données. AR est d’avis que cette tâche devrait revenir au responsable désigné de la protection des données, pour autant qu’il dispose de capacités de travail suffisantes, et que l’on peut dès lors se dispenser de créer un poste indépendant. Six participants¹¹⁴ demandent expressément la suppression du ch. 4.3.

En ce qui concerne le ch. 4.3.1.1, SZ est d’avis qu’il n’est pas judicieux d’exiger que les responsables de la protection des données puissent exercer leur fonction de manière indépendante. À l’instar de K3, VZK, ZG et ZAD, SZ veut savoir en outre ce que l’on entend au juste par là. De l’avis de privatim, il serait souhaitable que l’on ajoute au ch. 4.3.1 un point supplémentaire qui dispose que le responsable de la protection des données doit avoir toutes les connaissances requises pour assumer cette tâche. Par ailleurs, il faut préciser au ch. 4.3.1.2 que le terme de « ressources » fait référence aussi bien aux ressources temporelles que financières. VGIch qualifie de trop vague l’énoncé du ch. 4.3.1.2 et demande qu’il soit précisé à l’aide de critères bien définis. En outre, medshare souhaite lui apporter les précisions suivantes : « il dispose des ressources et des compétences décisionnelles nécessaires […] », et BS préfère la formulation suivante : « il dispose des compétences et des ressources nécessaires […] ».