Projet

Ordonnance de la ChF sur le vote électronique RO …

17.2 Une analyse de la couverture des tests est réalisée. Elle démontre :

 que les tests définis dans la documentation de test et les spécifications fonctionnelles des interfaces correspondent ;

 que toutes les interfaces ont été complètement testées.

17.3 Une analyse de la profondeur des tests est réalisée. Elle démontre :

 que les tests définis dans la documentation de test et les soussystèmes relatifs aux fonctions de sécurité et aux modules ayant un rôle dans la garantie de la sécurité correspondent ;

 que tous les sous-systèmes relatifs aux fonctions de sécurité figurant dans les spécifications ont été testés ;

 que tous les modules ayant un rôle dans la garantie de la sécurité ont été testés.

18. Organisation de la sécurité des informations

18.1 Tous les rôles et toutes les responsabilités concernant l’exploitation du

système sont précisément définis, attribués et communiqués.

18.2 Un processus d’autorisation est mis en place pour toutes les installations de

traitement des données de l’infrastructure.

18.3 Les risques liés à des tiers (mandataires tels que fournisseurs et prestataires)s

sont identifiés et réduits autant que nécessaire moyennant la conclusion de conventions contractuelles adéquates. Le respect de ces conventions est surveillé et vérifié de manière appropriée pendant leur durée de validité.

19. Gestion des ressources matérielles ou immatérielles

19.1 Toutes les ressources matérielles ou immatérielles qui correspondent à un

actif au sens de la norme ISO/IEC 27001:2013, Technologies de l’information — Techniques de sécurité — Systèmes de management de la sécurité de l’information — Exigences¹¹ et qui sont pertinentes pour le vote électronique (organisation en tant que tout, en particulier les processus organisationnels et les informations traitées dans le cadre de ces processus ; les supports de données; les installations de traitement des données de l’infrastructure ; les locaux de l’infrastructure) sont répertoriées dans un inventaire. Une liste recensant le personnel doit être dressée. L’inventaire et la liste du personnel sont tenus à jour. Chaque ressource matérielle ou immatérielle est attribuée à une personne qui en prend la responsabilité.

19.2 L’utilisation licite de ressources matérielles ou immatérielles est définie.

19.3 Des directives régissant la classification des informations sont édictées et

communiquées.