Rapport explicatif

Section 3 Gestion de la sécurité de l’information

Les art. 5 à 15 OSI définissent les exigences minimales dans la gestion de la sécurité de l’information au sein de l’administration fédérale et de l’armée. Ils précisent, pour les tâches essentielles de la sécurité de l’information, les responsabilités des offices, des départements et du service spécialisé de la Confédération pour la sécurité de l’information. Ce dernier édictera à ce sujet des consignes de traitement (art. 21, al. 1) ou des directives générales abstraites (cf. art. 29, al. 1) qui prendront en compte l’approche fondée sur les risques encourus.

Art. 5 Système de management de la sécurité de l’information

Al. 1 – Un SMSI se compose de procédures et de règles qui expliquent comment la sécurité de l’information est organisée au sein d’un système et qui montrent quelles tâches, compétences et responsabilités relèvent de qui. La notion de SMSI renvoie implicitement à la norme ISO/IEC 27001 qui tend à se généraliser dans l’économie privée et dans les administrations publiques. Les unités administratives ne peuvent s’acquitter que d’un SMSI light ; en d’autres termes, elles ne sont pas obligées d’appliquer la norme ISO dans son intégralité et peuvent se contenter des principaux processus de management définis dans l’OSI ; des consignes viendront préciser ces processus. Une certification externe n'est pas exigée. Les unités administratives et les départements sont libres de définir un niveau d’ambition supérieur.

Tandis que les responsables de la sécurité des unités administratives (art. 36) garantissent la constitution, le fonctionnement, la vérification et l’amélioration continue du SMSI, l’exploitation à proprement parler de celui-ci incombe, sur mandat des premiers, au préposé à la sécurité de l’information de l’unité administrative (art. 37, al. 2, let. a). Selon l’art. 48, al. 4, un SMSI doit être mis sur pied au plus tard trois ans après l’entrée en vigueur de l’OSI.

Al. 2 – L’objectif d’un SMSI est la gestion et l’amélioration de la sécurité de l’information au sein de l’unité administrative. Des objectifs concrets sont nécessaires, sur la base desquels la direction de l’office peut juger si l’effet souhaité est atteint. Ces définition et mesure annuelles des objectifs sont une tâche directionnelle qui incombe à cette dernière et doit être distincte de l’établissement du plan de contrôle et d’audit visé à l’art. 13.

Al. 3 – Afin de garantir une certaine objectivité et comparabilité dans l’évaluation de la mise en œuvre et de l’efficacité du SMSI, une vérification périodique à effectuer par un organisme indépendant de l’office ou le département est exigée. Cette vérification indépendante du SMSI met les autres offices en confiance, tout en permettant l’amélioration continue de la sécurité au sein de l’office même.

La périodicité de trois ans s’oriente sur le cycle de certification officiel de la norme ISO, mais l’ampleur de la vérification prescrite est nettement moins ambitieuse que celle de la norme ISO : un audit formel au sens de la norme ISO n’est pas forcément demandé, même si pareil audit serait le bienvenu. Selon le mandat, le SMSI peut être contrôlé dans son intégralité ou partiellement. L’unité administrative concernée a la compétence décisionnelle quant au choix de l’organisme de contrôle indépendant. De telles vérifications peuvent être effectuées soit par les structures de surveillance internes des départements, soit par une entreprise externe (commentaire du message LSI,

p. 3018). Le recours à un pool d’auditeurs SMSI issu d’unités administratives d’un département ou de la Confédération serait également envisageable. Le processus continu d’amélioration est crucial pour garantir la sécurité de l’information. De tels contrôles permettent d’en tenir compte.

Al. 4 – Il démontre le lien étroit entre le SMSI et la gestion des risques de la Confédération, la gestion de la continuité de l’exploitation et la gestion des crises. Il s’agit de tâches du management externes au champ d’application de l’OSI, mais que les unités administratives doivent harmoniser et coordonner étroitement.

Art. 6 Gestion des bases légales et des engagements contractuels

Al. 1 – un répertoire sur les bases juridiques déterminantes dans le propre domaine de compétences et les engagements contractuels dans le domaine de la sécurité de l’information atteste du respect des bases juridiques pertinentes qui doivent être vérifiées par exemple dans le cadre de la mesure de l’atteinte annuelle des objectifs du SMSI selon l’art. 5, al. 2, OSI ou de la vérification du SMSI selon l’art. 5, al. 3, OSI. Du fait de l’extension des chaînes d’approvisionnement dans le domaine de la sécurité de l’information, un aperçu des obligations à s’acquitter et des droits à faire valoir est indispensable et favorise notamment l’utilisation de synergies avec d’autres relations contractuelles existantes.