Section 5 Sécurité des moyens informatiques

(art. 16 LSI)

¹Les unités administratives visées à l’art. 2, al. 1, let. c, doivent pouvoir démontrer le besoin de protection de leurs objets à protéger et leur importance pour la gestion de la continuité des activités.

²Elles mettent en œuvre les consignes minimales des différentes catégories de sécurité et vérifient si des mesures de sécurité supplémentaires sont nécessaires.

³Elles démontrent les risques résiduels.

⁴Les responsables de la sécurité de l’information (art. 36) décident si les risques résiduels sont acceptables. Ils peuvent déléguer cette décision à d’autres membres de la direction.

⁵La procédure de sécurité est répétée en cas de changements importants concernant la menace, la technologie, les tâches ou la situation de l’organisation.

⁶Les unités administratives visées à l’art. 2, al. 1, let. c, contrôlent chaque année si un changement important a eu lieu.

⁷Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent la procédure de sécurité visée à l’art. 16 LSI.

(art. 17 LSI)

¹La catégorie de sécurité «protection élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice visé à l’art. 19 ou un dommage de 50 à 500 millions de francs.

²La catégorie de sécurité «protection très élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice visé à l’art. 20 ou un dommage supérieur à 500 millions de francs.

(art. 6, al. 3, 18 et 85 LSI)

¹Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences minimales pour les catégories de sécurité visées à l’art. 17 LSI.

²Il tient compte des exigences concernant la sécurité des données personnelles au sens de la législation sur la protection des données et celle des autres informations que la Confédération doit protéger en vertu de ses obligations légales ou contractuelles.

³L’efficacité des mesures de sécurité applicables aux moyens informatiques suivants doit être contrôlée avant leur mise en exploitation, ainsi que durant l’exploitation en cas de changements importants des risques, mais au moins tous les cinq ans:

a.

les moyens informatiques de la catégorie de sécurité «protection élevée» qui sont utilisés pour accomplir des tâches dépassant le cadre d’une autorité ou d’un département;

b.

les moyens informatiques de la catégorie de sécurité «protection très élevée».

⁴La ChF et les départements intègrent leurs moyens informatiques de la catégorie de sécurité «protection très élevée» dans leur gestion de la continuité.

(art. 19 LSI)

¹ Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les responsabilités en matière de sécurité de l’information au niveau opérationnel soient consignées dans les accords de projets et les conventions de prestations conclus avec les fournisseurs internes de prestations.

²Les fournisseurs internes de prestations mettent à la disposition des unités administratives visées à l’art. 2, al. 1, let. c, des départements et du service spécialisé de la Confédération pour la sécurité de l’information les informations dont ceux-ci ont besoin pour assurer la sécurité de l’information.

³Ils veillent à disposer, sur le plan du personnel et des finances, des capacités et compétences nécessaires à la détection précoce, à l’analyse technique et à la maîtrise ou au traitement des incidents et des failles de sécurité qui les concernent ou qui concernent les bénéficiaires de leurs prestations dans le cadre des accords et conventions visés à l’al. 1.

⁴Ils surveillent l’utilisation de leur infrastructure informatique et l’examinent régulièrement à la recherche de menaces et de vulnérabilités techniques. Ils peuvent charger des tiers d’effectuer cet examen.

⁵Le traitement des données personnelles dans le cadre de la surveillance et de l’examen visés à l’al. 4 est régi par l’ordonnance du 22 février 2012 sur le traitement des données personnelles et des données des personnes morales lors de l’utilisation de l’infrastructure électronique de la Confédération¹⁵.