Rapport explicatif

physiques ou électroniques. La mise en sûreté de preuves dont il est ici question n’implique pas leur analyse, laquelle est du ressort des autorités de poursuite pénale sur ordre d’un juge.

Art. 34 Mesures physiques de protection

Al. 1 – Sur la base de l’art 85 LSI, le service spécialisé de la Confédération pour la sécurité de l’information édicte des directives sur les mesures minimales nécessaires à prendre pour protéger physiquement les informations et les moyens informatiques. Il consulte au préalable des organes de l’administration fédérale et de l’armée compétents pour la sécurité des objets. Ces consignes ne s’appliquent qu’aux organes visés l’art. 2, al. 1 à 3.

Al. 1 et 2 – Les mesures de protection physiques peuvent être la mise en place de zones de sécurité (art. 35 OSI et message LSI, p. 3032 ss), des contrôles d’accès dans des bâtiments, la surveillance par caméra de certains secteurs, des dispositifs de destruction de supports d’informations ou des contrôles des postes de travail. Le préposé à la sécurité de l’information des unités administratives a désormais la compétence pour réaliser ces derniers (art. 37, al. 2, let. j, OSI).

Art. 35 Zones de sécurité

Al. 1 – La création de zones de sécurité doit réduire les potentiels de dommages suite à un espionnage ou sabotage dans des zones très sensibles (comme les locaux abritant des serveurs ou certaines salles de conduite) (message LSI, p. 3015, 3032 ss).

Al. 2 – La confirmation des exigences de sécurité pour les zones de sécurité ne signifie pas une accréditation de sécurité au sens de l’art. 23 OSI. Les zones de sécurité ne doivent pas être confondues avec des locaux anti-écoute pour lesquels des mesures de construction et d’organisation plus complexes sont nécessaires.

Al. 3 – Sur la base de l’art 85 LSI, le service spécialisé de la Confédération pour la sécurité de l’information édicte des directives sur les exigences de sécurité pour les zones de sécurité et leurs installations. Il consulte au préalable des organes de l’administration fédérale et de l’armée compétents pour la sécurité des objets. Ces consignes ne s’appliquent qu’aux organes visés l’art. 2, al. 1 à 3.

Section 7 Organisation de sécurité

Une nouveauté importante de l’OSI concerne les directions des offices. L’OSI leur confie des tâches, compétences et responsabilités concrètes dans le domaine de la sécurité de l’information qu’ils peuvent déléguer au besoin à un membre de leur direction (le responsable de la sécurité). Les responsables de la sécurité supervisent le SMSI de leur office et prennent toutes les décisions importantes dans le domaine de la sécurité de l’information. Les activités de surveillance opératives sont des tâches qui incombent aux préposés à la sécurité de l’information. Avec l’OSI, les rôles actuels de délégué à la sécurité informatique et de préposé à la protection de l’information sont condensés en un seul et même rôle, celui de préposé à la sécurité de l’information. Ses tâches vont être précisées, puis complétées par d’autres tâches relevant du SMSI.

Un modèle analogue est appliqué à l’échelon des départements. Ceux-ci sont responsables en leur sein du pilotage, de la coordination et de la surveillance de la sécurité de l’information au sein du département dans le sens des art. 37 à 38 et 41 à 42 LOGA. Ils définissent en particulier la politique de la sécurité de l’information et l’organisation de la sécurité départementale. La responsabilité opérative pour la sécurité incombe au secrétaire général. Les préposés à la sécurité de l’information continuent d’assumer les tâches opératives de coordination et de surveillance (art. 81 LSI).

La section 7 décrit les différents rôles et fonctions prévus dans l’organisation de la sécurité. Certains rôles, comme ceux des préposés à la sécurité de l’information des unités administratives (art. 37 OSI), peuvent être confiés à plusieurs personnes, selon le thème, en fonction des besoins d’un office. Il en va de même pour tous les autres rôles, conformément aux art. 37 ss OSI. Aucun rôle n’est lié à une seule personne en particulier. N’est pas concerné celui précisé à l’art. 35 OSI : le responsable de la sécurité de la ChF et des unités administratives ne peut être attribué qu’à une seule personne.

Les personnes suppléantes doivent être à la hauteur techniquement et personnellement pour assurer toutes les tâches du rôle primaire. La personne suppléante doit avoir été formée pour pouvoir suppléer le rôle primaire à tout moment et avant tout en cas d’urgence à un niveau raisonnable.