Projet

Ordonnance de la ChF sur le vote électronique RO …

moyen d’une référence publiée si la version des fichiers est bien la version correcte et non modifiée.

3.8 La date de mise à jour de l’ensemble des logiciels des composants fiables

doit être choisie de manière que les avantages attendus l’emportent sur les risques potentiels.

3.9 Les composants de configuration, les composants d’impression et les

dispositifs techniques des vérificateurs qui sont impliqués d’une manière ou d’une autre dans le traitement des données critiques doivent être surveillés physiquement selon le principe du double contrôle pendant toute la durée du calcul et jusqu’à la suppression de toute donnée critique ou jusqu’au stockage sécurisé de ces composants et dispositifs. Ils peuvent être interconnectés tout au plus par des câbles physiques visibles, de sorte qu’aucune autre machine ne puisse visiblement y accéder jusqu’à la destruction des données confidentielles.

3.10 Les composants fiables ne doivent pas être connectés à Internet pour

installer ou mettre à jour des logiciels.

3.11 En principe, les données critiques doivent être détruites après usage. S’il

existe de bonnes raisons à cela, un stockage sécurisé du support de données est également autorisé comme solution alternative.

3.12 Les supports destinés à l’échange ou à la conservation de données, tels que

les clefs USB, doivent être retirés après le téléchargement des données vers le composant fiable et ne peuvent être réutilisés avant la destruction des données que si le composant fiable était vierge de données critiques avant le téléchargement.

Avant toute utilisation, les supports d'échange de données doivent être reformatés, et toutes les données détruites, au moyen d’un composant exploité conformément aux exigences applicables aux composants fiables.

3.13 Aucun accès logique ou physique à des composants fiables ou à des

supports contenant des données critiques ne doit être possible sans qu’une autre personne en soit informée, par ex. en prévoyant que cet accès ne soit possible qu’avec son concours (double contrôle strict).

3.14 Un accès non autorisé réussi à un composant de contrôle ne doit pas, autant

que possible, conférer un avantage dans la tentative d’accéder discrètement à un autre composant de contrôle. En plus des autres exigences prévues au ch. 3, on appliquera les exigences suivantes :

 Si une personne dispose d’un accès physique ou logique à un

composant de contrôle, elle ne doit avoir accès à aucun autre

composant de contrôle.

 Le matériel, les systèmes d’exploitation et les systèmes de

surveillance des composants de contrôle doivent être différents.

 Les composants de contrôle doivent être connectés à plusieurs

réseaux différents.

 Un composant de contrôle doit être matérialisé par un appareil