Rapport explicatif

Al. 2 – Le service spécialisé de la Confédération pour la sécurité de l’information a impérativement un rôle consultatif (devoir de consultation), mais n’est pas habilité à donner des instructions sur le contenu. Les évaluations et les estimations d’un service spécialisé de la Confédération ont tout de même un poids important. Les différences devraient toujours être bien justifiées et mises sur un pied d’égalité. Ce devoir de consultation est en lien avec les consignes touchant la sécurité (p. ex. des directives ou des lignes directrices) ou des projets (p. ex. dans le domaine informatique et ayant de l’importance pour la sécurité) des unités administratives ou des départements.

Art. 7 Inventaire des objets à protéger

Al. 1 – Un inventaire liste tous les objets à protéger conformément à l’art. 7, al. 2, OSI à un moment donné (liste d’inventaire).

Al. 2, let. a – L’OPCy ne connaît aujourd’hui que la notion d’objet informatique à protéger (cf. art. 3, let. h, OPCy), notion couverte par la lettre b. Les informations ne sont toutefois pas toujours traitées dans un seul système d’information spécifique. C’est par exemple le cas lors que tâche est effectuée en utilisant l’environnement informatique standard de la Confédération ou lors que les informations sont traitées dans une solution informatique en nuage externe. La notion d’objet « informations » à protéger au sens de la lettre a fait donc abstraction d’une quelconque dépendance à un système informatique pour ne tenir compte que de la protection des informations dont le traitement est nécessaire à l’accomplissement de la tâche. En principe, les mêmes critères et méthodes d’évaluation du besoin de protection que pour les objets informatiques à protéger sont applicables. La notion de « tâche de la Confédération ne couvre pas toutes les tâches, mais bien les processus d’affaires importants d’une unité administrative. Les consignes du service spécialisé de la Confédération (cf. art. 15) préciseront ces notions.

Al. 3 – Seule une liste d’inventaire à jour peut garantir le suivi de toutes les informations sur les objets à protéger conformément aux let. a à g.

Al. 3, let. c – La possibilité d’utilisation partagée des objets à protéger respectifs (let. e) renvoie au principe du once only. Les unités administratives décident à leur seule discrétion des objets à protéger qui seront partagés avec d’autres unités administratives.

Al. 3, let. d – L’aperçu des liens contractuels avec des tiers (commentaire de l’art. 10, al. 1, OSI), par exemple avec des fournisseurs informatiques, sert à la bonne gestion des fournisseurs et permet d’identifier de bonne heure d’éventuelles interdépendances entre la Confédération et les fournisseurs (avec l’évaluation du danger d’accumulation de risques). Il permet aussi d’identifier les risques qui, à travers ces fournisseurs, peuvent avoir un impact sur la Confédération.

Al. 3, let. f – Concernant les risques résiduels, voir le commentaire de l’art. 9 OSI.

Al. 3, let. g – Voir le commentaire de l’art. 14, en relation avec l’art. 6, al. 2 et 3, OSI.

Art. 8 Gestion des risques

Al. 1 – L’évaluation des risques est l’un des fondements d’une gestion efficace des risques et d’une sécurité de l’information adéquate et économique (commentaire du message LSI, p. 3018 s). Les consignes en matière informatique applicables à la protection de base de la Confédération offrent, dans une approche spécifiquement axée sur les risques, une protection contre une multitude de menaces. Elles servent à la sécurité globale de l’information de la Confédération et doivent être respectées. Elles permettent le suivi de moyens informatiques peu sensibles avec une charge de travail réduite. Dans ce cas, les unités administratives n’ont pas besoin de procéder à des évaluations complexes des risques.

Il va de soi que l’appréciation des risques doit être justifiable. Le fait d’être justifiable n’est associé à aucune forme particulière. Dans le contexte de la numérisation, cela doit permettre de recourir à des méthodes de justification neutres sur le plan technologique.

Al. 1, let. a – L’évaluation des risques à l’aune de leurs répercussions sur les objets à protéger (art. 7, al. 2, OSI) est, dans ce rapport, très liée à des mesures opérationnelles techniques et concerne, selon les besoins, la confidentialité, la disponibilité, l’intégrité ou la traçabilité des informations et du système informatique.

Al. 1, let. b – Le contrôle de l’efficacité des mesures de la sécurité de l’information peut par exemple prendre la forme de tests de pénétration ou de la collection d’indicateurs-clés.

Al. 1, let. c – Voir le commentaire sur la gestion des consignes selon l’art. 6 OSI.