Rapport explicatif

Art. 30 Sécurité de l’exploitation

Al. 1 à 4 – Les prestataires internes de la Confédération ont un double rôle dans la mise en œuvre de la sécurité de l’information. D’une part, ce sont des unités administratives normales qui doivent mettre en œuvre l’OSI comme toutes les autres unités administratives. D’autre part, ils jouent aussi un rôle central pour la sécurité des bénéficiaires des prestations. Il est donc déterminant pour la sécurité que le partage des tâches et des compétences soit clair. Les prestataires ont comme obligation générale de fournir leurs prestations informatiques conformément aux techniques les plus récentes et de mettre à la disposition des bénéficiaires de prestations les informations nécessaires relatives à la sécurité en temps opportun. Les unités administratives (généralement les bénéficiaires de prestations) sont responsables de la définition claire des responsabilités pour la sécurité au niveau de l’exploitation, y compris pour la gestion des vulnérabilités, dans les conventions correspondantes. Elles sont notamment responsables de la sécurité de leurs données et de leurs tâches.

Al. 5 – Cette surveillance relève purement de la technique de sécurité et il ne s’agit pas d’une éventuelle surveillance des collaborateurs. Les tiers peuvent être des personnes qui interviennent dans le cadre d’un programme de prime de bogues par exemple.

Section 6 Mesures relatives aux personnes et protection physique Art. 31 Vérification de l’identité des personnes et des machines

Al.1 – Sur la base de l’art 85 LSI, le service spécialisé de la Confédération pour la sécurité de l’information édicte des directives sur les exigences minimales pour la vérification fondée sur les risques de l’identité des personnes et des machines nécessitant un accès à des informations, des moyens informatiques, des locaux et d’autres infrastructures de la Confédération. Il consulte au préalable le délégué DTI. Ces consignes ne s’appliquent qu’aux organes visés l’art. 2, al. 1 à 3.

Il s’agit de définir ici comment une personne peut prouver son identité physique ou électronique afin d’avoir accès à des informations, des moyens informatiques, des locaux et d’autres infrastructures de la Confédération. Le niveau de sécurité requis (level of assurance) sera plus élevé pour les systèmes sensibles que pour les applications normales. Les personnes, mais aussi les ordinateurs et même les processus doivent pouvoir dès lors prouver leur identité.

Art. 32 Sécurité relative aux personnes

Al. 1 – Les unités administratives doivent assurer chaque année la sensibilisation des collaborateurs soumis à un contrôle de sécurité. Les supérieurs doivent assumer activement la responsabilité vis-à-vis des risques de sécurité liés aux personnes et s’assurer que celle-ci fasse partie intégrante des tâches de direction permanentes. Ainsi, une telle sensibilisation pourrait se dérouler dans le cadre de l’entretien avec les collaborateurs. Ce point serait ainsi abordé au moins une fois par an.

Al. 2 – la pratique a montré que les risques de sécurité liés aux personnes, une fois le contrôle de sécurité relatif effectué, ne donnaient plus souvent matière à discussion. Dans l’esprit d’un suivi classique sur le plan international (appelé aftercare), les collaborateurs disposant d’un certificat de sécurité doivent signaler à leur employeur des faits de leur environnement privé ou professionnel qui menacent la sécurité. Il peut s’agir d’incidents susceptibles de soumettre concrètement une personne à un chantage (p. ex. de grosses dettes contractées dans le cadre de jeux de hasard, une dépendance à l’alcool ou aux stupéfiants découverte par une tierce personne, une relation extra-conjugale dévoilée). Si un signalement a lieu, la procédure sera coordonnée avec le service du personnel.

Art. 33 Soupçons de comportement répréhensible

Al. 1 – Cette disposition doit garantir que de possibles infractions soient communiquées aussi vite que possible aux autorités de poursuite pénale compétentes sans que les départements doivent se perdre en conjectures détaillées de nature pénale, voire judiciaire. Ainsi la notion d’acte délictueux sera prise en considération si le moindre des signes indique un agissement répréhensible, même s’il n’est pas pleinement établi.

Al. 2 – Il s’agit ici de la mise en sûreté rapide de preuves tangibles et en partie fugaces. Les obstacles à celle-ci doivent être réduits. Il est important que, dans le cadre de la mise en sûreté des preuves, les unités administratives n’effacent pas, ne laissent pas ou ne créent pas de traces