Rapport explicatif

comme un canton au sens de la LSI ou de l’OSI. Si un canton ne tombe pas dans le champ d’application de la LSI, il est considéré comme tiers au sens de l’art. 9 LSI (cf. commentaire de l’art. 10).

Al. 6, let. b – On entend par accès aux moyens informatiques tous les types d’accès techniques aux moyens informatiques de la Confédération dont les cantons disposent. La question de l’accès doit, dans tous les cas, être examinée. La Confédération décide en dernier ressort de l’existence d’un accès.

Section 2 Principes Art. 3 Objectifs de sécurité

Les interfaces techniques entre les moyens informatiques des organisations qui relèvent de l’OSI se multiplient. De ce fait, les menaces ou risques encourus par l’organisation ou ses fournisseurs ne peuvent pas être considérés isolément. La sécurité de l’information est forcément une tâche globale qui exige un objectif commun et une approche coordonnée.

Al. 1 – Le Conseil fédéral aspire à garantir la protection des informations et des moyens informatiques par une approche fondée sur les risques encourus. La concrétisation de la sécurité sur la seule base d’une liste de contrôle ne suffit plus. Les responsables doivent plutôt gérer activement les risques, connaître les menaces qui pèsent sur la sécurité de l’information et leurs éventuelles répercussions, adapter la charge de travail pour réduire les risques à un minimum en fonction de l’ampleur de ces risques et se concentrer sur les risques majeurs en les jugulant par les mesures les plus efficaces qui soient. Avec l’approche fondée sur les risques, l’accent doit être mis tant sur les risques encourus (répercussions négatives) que sur les possibilités et les occasions (répercussions positives) qui se présentent, les nouvelles idées, les applications ou les technologies. La résilience est la capacité d’une organisation à faire face à un incident de sécurité et à retourner à un fonctionnement normal.

Art. 4 Responsabilité

Al. 1 et 2 – Conformément à l’art. 45 LOGA, les directeurs des groupes et des offices sont responsables vis-à-vis de leurs supérieurs hiérarchiques de la conduite des unités administratives qui leur sont subordonnées et de l’exécution des tâches qui leur sont déléguées. Cela inclut donc la responsabilité de la sécurité de l’information. Le NCSC fixe aujourd’hui un minimum de consignes en matière de sécurité de l’information qui servent à protéger l’ensemble de l’administration fédérale et que les unités administratives doivent appliquer avec une marge de manœuvre limitée. Toutefois, cela ne dégage pas les unités administratives de leur responsabilité dans l’évaluation continue des risques et de la prise de mesures qui peuvent s’imposer. Concernant la compétence des départements sur l’attribution autre de certaines tâches, voir le commentaire de l’art. 39, al. 3.

Al. 3 – Le personnel doit respecter les règles de comportement fixées pour le traitement des informations et l’utilisation des moyens informatiques de la Confédération. Il est donc indispensable qu’il reçoive une instruction appropriée à ce sujet (commentaire de l’art. 4, al. 4, et art. 11 OSI).

On entend par collaborateurs de l’administration fédérale les membres du personnel internes et externes qui reçoivent des instructions de la Confédération : les collaborateurs internes sont des employés de la Confédération conformément à la LPers ; en revanche, les collaborateurs externes sont des personnes embauchées dans le cadre d’un contrat de location de services. Ne sont pas considérés comme collaborateurs de la Confédération les personnes privées indépendantes ou les collaborateurs d’entreprises qui, sur la base d’une relation contractuelle par exemple, donnent des conseils à la Confédération ou lui fournissent des prestations de service ou matérielles (comme le développement de logiciels, l’extension du réseau, la construction d’un local de serveurs, la prise en charge de la direction d’un projet, etc.) Ces personnes sont des tiers ; voir commentaire de l’art. 10. En ce qui les concerne, la gestion réglementaire des objets protégés doit être garantie, le cas échéant, par des contrats au sens de l’art. 9 LSI.

Al. 4 – À chaque échelon hiérarchique, les supérieurs sont également responsables dans le domaine de la sécurité de l’information de l’instruction pratique et spécifique à la fonction de leurs collaborateurs ainsi que du contrôle du respect des consignes. Il incombe à ces supérieurs d’expliquer concrètement à leurs collaborateurs comment gérer les informations protégées, de les rendre attentifs au fait d’utiliser rigoureusement selon les directives les logiciels de codage et de veiller à ce qu’ils suivent les formations proposées. Voir commentaire de l’art. 11 OSI au sujet de la responsabilité des unités administratives.