Analyse des besoins de protection

Objectif

L'analyse des besoins de protection décide si la protection informatique de base suffit à un objet informatique. HERMES l'appelle aussi analyse SIPD. L'art. 16 de la loi sur la sécurité de l'information (LSI) impose à chaque autorité qui y est soumise une procédure de sécurité qui évalue le besoin de protection (al. 2 let. a). L'analyse précède la mise en service de l'objet, quelle que soit la méthode de projet.

Dans HERMES 2022, la tâche Élaborer l'analyse des besoins de protection produit l'analyse. Elle appartient au module Bases du projet et se déroule dans la phase d'initialisation. HERMES pose la règle: «Une analyse des besoins de protection doit être effectuée pour chaque projet informatique.» Si l'analyse montre qu'une protection accrue est nécessaire, le projet élabore un concept SIPD assorti d'une analyse des risques approfondie pendant la création de la solution.

L'analyse se déroule parallèlement à l'étude. L'étude intègre les conclusions de l'analyse dans l'évaluation des variantes. Le mandat d'exécution se fonde aussi sur l'analyse des besoins de protection. Dans la phase de conception, le dossier d'appel d'offres la compte parmi ses conditions préalables.

Le livrable est le document d'analyse. Dans l'administration fédérale, il suit le modèle Excel P041-Hi01. Ce modèle contient la description de l'objet, l'inventaire des groupes d'informations et les conséquences d'une compromission pour chaque objectif de protection. Il conclut par le besoin de protection, la catégorie de sécurité et les étapes suivantes de la procédure de sécurité.

Usage

Quand l'utiliser

• Projet informatique conduit selon HERMES: l'analyse accompagne l'étude en initialisation et alimente le mandat d'exécution et l'appel d'offres.
• Unité soumise à la LSI: la procédure de sécurité exige d'évaluer le besoin de protection de chaque objet avant sa mise en service.
• Données personnelles traitées par l'objet: l'équipe mène l'examen préalable des risques avec la personne préposée à la protection des données; un risque élevé rend le besoin accru.
• Entreprise externe qui participe au développement ou à l'exploitation: l'analyse dit si une procédure de sécurité relative aux entreprises doit être lancée.
• Modification importante d'un objet en exploitation: un nouveau groupe d'informations ou un nouvel accès externe demande une analyse révisée.
• Organisation sans méthode propre: le guide fédéral P041 s'adresse aussi aux entreprises.

Quand ne pas l'utiliser

• Évaluer des menaces ou choisir des mesures: l'analyse ignore la menace; mener l'analyse des risques du concept SIPD.
• Classer un document: la classification suit le catalogue de classification de l'organisation; l'analyse porte sur un objet informatique entier.
• Mesurer le risque pour les droits des personnes: conduire l'examen préalable des risques, puis l'analyse d'impact relative à la protection des données (AIPD) de l'art. 22 de la loi fédérale sur la protection des données (LPD).

Description

HERMES et les directives de l'organisation permanente

HERMES 2022 nomme la tâche, ses conditions préalables, ses activités et son résultat. Il ne fixe ni les objectifs de protection ni les échelons. Le contenu du résultat «est défini en fonction des directives de l'organisation permanente». L'organisation permanente désigne, dans HERMES, l'organisation de ligne responsable du projet: un office fédéral, une administration cantonale, une entreprise.

La tâche démarre au jalon Libération de l'initialisation du projet. Elle part du mandat d'initialisation du projet et de la liste des parties prenantes. HERMES lui donne ces activités:

• analyser la sécurité de l'information et les besoins de protection;
• effectuer une analyse des risques;
• examiner les exigences de sécurité de l'information et de protection des données, puis évaluer leurs conséquences sur l'étude, le déroulement du projet et la solution envisagée;
• coordonner l'analyse avec les organes de prescription et de contrôle de gestion.

HERMES confie la tâche au responsable SIPD et associe le chef de projet au résultat. Il ne nomme pas le business analyst parmi les participants. L'équipe gagne pourtant à l'associer: il connaît les processus d'affaires de l'objet, les informations qui y circulent et les personnes qui y accèdent.

Dans l'administration fédérale, les directives sont celles de la procédure de sécurité. Le Secrétariat d'État à la politique de sécurité (SEPOS) la rattache à l'art. 16 LSI et aux art. 27 à 29 de l'ordonnance sur la sécurité de l'information (OSI). L'Office fédéral de la cybersécurité (OFCS) a publié la méthode le 14 octobre 2024 dans le Guide pour l'analyse des besoins de protection (P041). Le SEPOS le diffuse avec le modèle Excel P041-Hi01. Le guide retient cinq objectifs de protection: la confidentialité, l'intégrité, la disponibilité, la traçabilité et la protection des données.

La procédure fédérale donne son contenu à l'activité HERMES «effectuer une analyse des risques». Dans cette activité, l'analyse des besoins de protection établit seulement s'il existe un risque qu'il convient de prévenir. Elle est donc elle-même le livrable de cette activité. L'analyse des risques approfondie revient au concept SIPD.

Les cantons fixent leurs propres règles. Bâle-Campagne retient quatre objectifs: la confidentialité, la disponibilité, l'intégrité et la traçabilité. Ses échelons varient selon l'objectif. La disponibilité en compte quatre, de «normal» (redémarrage en 72 heures) à «extrêmement élevé» (redémarrage en 30 minutes). L'intégrité et la traçabilité en comptent deux. Avant la première séance, l'analyste vérifie quelles directives s'appliquent au projet.

L'objet informatique à protéger

L'analyse porte sur un objet informatique à protéger. Le guide P041 le définit comme un ensemble de moyens informatiques et des données qu'ils stockent, traitent et transmettent. Ces éléments servent un but commun: une application spécialisée qui soutient un processus d'affaires en donne l'exemple type. Une plateforme qui rend service à d'autres objets forme elle-même un objet à protéger. Le guide cite le système eIAM, les infrastructures de serveurs virtualisées et les offres de software as a service (SaaS).

Chaque objet reçoit sa propre analyse. Un projet qui livre une application et une plateforme d'échange en produit donc deux. Une information isolée ou un type de document ne forme pas un objet: le modèle P041-Hi01 juge impossible d'en tirer un besoin de protection.

Les conséquences, jamais la menace

L'analyse évalue les conséquences possibles d'une compromission. Elle ne tient aucun compte de la menace qui pourrait la provoquer. Le guide P041 donne l'exemple de la perte de données: qu'elle vienne d'une sauvegarde manquante, d'une cyberattaque ou d'un collaborateur malintentionné, les données sont perdues.

Cette règle protège l'analyse d'un raisonnement circulaire. Un participant qui répond «nous avons des sauvegardes» à la question de la disponibilité décrit une mesure. La mesure appartient au concept SIPD, que l'analyse doit justifier. L'animateur ramène la discussion à la conséquence: ce qui arrive si l'information manque.

Conduire l'analyse

La procédure du guide P041 s'inspire de l'évaluation rapide des risques (Rapid Risk Assessment) de Mozilla.

1. Décrire l'objet. La description donne le but de l'objet et les processus d'affaires qu'il soutient. Elle nomme les bénéficiaires, les fournisseurs de prestations et les personnes dont le rôle est assigné, par exemple la personne déléguée à la sécurité de l'information de l'unité organisationnelle (DSIO). Elle esquisse la configuration technique et la situation du réseau. Elle liste les droits d'accès des personnes, des groupes, des rôles et des processus. Elle indique le cadre géographique: dans quels pays les informations sont stockées et d'où elles sont accessibles. Le guide admet qu'on la complète en cours de projet.
2. Dresser l'inventaire des informations. L'inventaire contient toutes les informations que l'objet crée, stocke, traite ou transmet. Il contient aussi celles dont l'objet a besoin. L'équipe regroupe les informations qui ont les mêmes conséquences. Le modèle P041-Hi01 (version 5.1.1) accepte dix groupes au plus. Chaque groupe reçoit une description, sa classification actuelle ou requise selon les art. 18 à 20 OSI (INTERNE, CONFIDENTIEL, SECRET) et l'indication des données personnelles qu'il contient. Pour un groupe classifié, le guide demande aussi le cercle des personnes autorisées.
3. Décrire les conséquences. Pour chaque groupe, l'équipe répond à la question que le guide pose pour chaque objectif. Elle décrit les conséquences pour l'organisation et pour les autres personnes ou organisations touchées.
4. Appliquer les critères. L'équipe examine si les conséquences entraînent une atteinte à la sécurité de l'information ou un dommage financier selon les critères de l'art. 28 OSI. Elle examine si une loi ou une ordonnance justifie ou exige une protection accrue, par exemple la loi sur les produits thérapeutiques ou le secret d'affaires. La personne préposée à la protection des données dit si elle voit un risque élevé pour les droits fondamentaux des personnes concernées (art. 22 al. 1 LPD). Le modèle P041-Hi01 recommande de conserver son examen préalable des risques avec l'analyse. L'organisation juge enfin si les conséquences sont inacceptables pour elle. Pour ce dernier critère, le guide conseille une analyse d'impact sur les activités (business impact analysis) avec des critères propres aux processus d'affaires.
5. Relever les exigences. L'équipe note les exigences de disponibilité (heures de service, maintenance). Elle indique si l'objet a besoin d'un plan de continuité des activités, indépendamment de sa catégorie. Elle indique si une certification selon l'art. 23 OSI s'impose. Elle signale les sous-traitants externes qui traitent des données personnelles et les accès à ces données accordés à des cantons, à des autorités étrangères ou à des personnes privées. Ces réponses servent aussi à décider si une procédure de sécurité relative aux entreprises s'impose.
6. Conclure. L'équipe conclut pour chaque objectif à un besoin de protection accru ou non accru. Elle attribue une catégorie de sécurité à l'objet.
7. Faire vérifier et approuver. Le DSIO vérifie que les conséquences sont plausibles et que l'évaluation est compréhensible et fondée. La personne chargée du conseil en protection des données participe quand l'objet traite des données personnelles. Dans un projet, le guide juge judicieux que le mandant ou le responsable du processus approuve l'analyse. Les départements et les offices déterminent qui signe et sous quelle forme. L'objet et son besoin de protection entrent dans l'inventaire des actifs.

Besoin de protection et catégorie de sécurité

L'analyse produit deux résultats distincts. Le besoin de protection se déclare pour chaque objectif: accru ou non accru. La catégorie de sécurité s'attribue à l'objet entier. Selon le guide P041, l'art. 17 LSI place l'objet en protection de base par défaut. Un impact au sens de l'art. 28 OSI ou une classification suffit à le faire passer en protection élevée ou très élevée.

Seuls les moyens informatiques reçoivent une catégorie de sécurité. Elle découle des seuls critères de l'art. 28 OSI et de la classification. Une catégorie élevée ou très élevée rend toujours le besoin de protection accru. Une exigence légale particulière, un risque élevé pour la protection des données ou des conséquences inacceptables rendent le besoin accru sans changer la catégorie. Un objet peut donc rester en protection de base avec un besoin accru.

Les critères de l'art. 28 OSI visent des atteintes à l'échelle de la Confédération: la capacité d'action du Conseil fédéral, la sécurité de la population, l'exploitation d'infrastructures critiques. Le modèle P041-Hi01 estime l'ampleur des dommages en trois paliers: moins de CHF 50 millions, de CHF 50 à 500 millions et plus de CHF 500 millions. Il rattache le palier intermédiaire à l'art. 28 al. 1 OSI et le palier supérieur à l'al. 2. Selon le modèle, ces montants viennent de la gestion des risques de la Confédération. Ils ne sont un critère pertinent de besoin accru que pour un petit nombre d'objets.

Après l'analyse

Sans besoin accru, l'organisation ne fait face à aucun risque extraordinaire et ne mène pas d'analyse des risques élargie. L'organisation met en œuvre pour l'objet les exigences de la protection informatique de base (Si001). Ces exigences valent pour tout objet à protéger, quel que soit le résultat.

Avec un besoin accru, l'organisation réduit les conséquences considérables ou graves à un niveau acceptable par des mesures techniques et organisationnelles. Elle applique les directives P042 dans un concept SIPD, qui comprend une analyse des risques. HERMES fait élaborer ce concept pendant la création de la solution. Ses bases sont l'étude, l'analyse des besoins de protection, les exigences organisationnelles et les exigences envers la solution.

D'autres obligations peuvent suivre. Une procédure de sécurité relative aux entreprises s'impose quand une entreprise externe reçoit des informations classées CONFIDENTIEL ou SECRET. Elle s'impose aussi quand une entreprise externe travaille sur un objet en protection élevée ou très élevée. Cette procédure suit l'ordonnance sur la procédure de sécurité relative aux entreprises (OPSEnt). Un objet qui traite des données personnelles peut exiger un registre des activités de traitement (art. 12 LPD) et un règlement de traitement. Pour les organes fédéraux, ce règlement suit l'art. 6 de l'ordonnance sur la protection des données (OPDo).

Le modèle P041-Hi01 qualifie l'analyse de document évolutif. Le guide P041 demande d'en achever rapidement une première version, puis de la tenir à jour en tout temps. Le SEPOS demande de renouveler la procédure de sécurité à chaque modification importante de l'objet. Il demande aussi d'en vérifier l'actualité et l'efficacité au moins une fois par an.

Les pièges

Évaluer la menace. Une équipe qui pondère les conséquences par la probabilité d'une attaque sous-évalue l'objet. Elle n'a pas davantage à lister les menaces courantes: selon le modèle P041-Hi01, la protection informatique de base traite les risques communs à tous les moyens informatiques.

Analyser un document. Une analyse par type de document multiplie les fichiers et ne donne aucune catégorie de sécurité. L'objet agrège les informations et les moyens informatiques qui les traitent.

Confondre classification et besoin de protection. Un objet non classifié peut relever de la protection élevée. La classification de l'objet entier peut dépasser celle de chacun de ses groupes. L'équipe qui lit «non classifié» et s'arrête manque les quatre autres objectifs.

Ignorer le contexte. Le guide de Bâle-Campagne donne l'exemple d'une adresse. Sur l'échelle de ce canton, elle est «confidentielle» en règle générale et «strictement confidentielle» quand la personne fait partie d'un programme de protection des témoins. Le même champ change de besoin selon le processus qui l'utilise.

Arriver trop tard. L'étude évalue les variantes avec les conclusions de l'analyse. Une analyse rédigée après le choix de la solution se borne à justifier ce choix.

Inventorier trop fin. Un inventaire de quarante lignes dilue le jugement.

Considérations IA

Un assistant d'IA accélère la description et l'inventaire. À partir du cahier des charges, des modèles de processus et du modèle de données, il propose une première liste de groupes d'informations. Il signale ceux qui contiennent des données personnelles ou sensibles au sens de la LPD. Il ébauche pour chaque groupe une réponse aux questions du guide. Il repère les incohérences: un groupe de données de santé sans avis de la personne préposée à la protection des données, une catégorie incompatible avec la classification d'un groupe. Dans une administration bilingue, il produit la version allemande ou française que l'équipe relit.

L'organisation seule juge les conséquences. Un modèle de langue ignore ce qu'une panne de trois jours coûterait au processus. Le DSIO répond de la plausibilité de l'évaluation. Le document lui-même décrit l'architecture, le réseau et les droits d'accès d'un système: il intéresse un attaquant. Il ne part que vers un service d'IA que l'organisation a autorisé pour ce niveau de classification. Une information classée CONFIDENTIEL ou SECRET ne quitte pas les moyens prévus pour elle.

Exemples

L'analyse ci-dessous montre un besoin de protection accru pour un objet qui reste dans la catégorie protection de base. Les colonnes reprennent trois groupes d'informations; les lignes suivent le modèle P041-Hi01.

La catégorie reste à la protection de base parce qu'aucune conséquence n'atteint les seuils de l'art. 28 OSI. Le concept SIPD vient de la ligne du besoin de protection: la personne préposée à la protection des données voit un risque élevé dans les certificats médicaux. Une équipe qui ne lit que la catégorie de sécurité s'arrête à la protection de base et manque l'obligation.

Visualisations

Un premier schéma montre la suite de l'analyse: tout objet reçoit la protection informatique de base. Seul un besoin accru ouvre l'analyse des risques et le concept SIPD. Un second schéma sépare les deux résultats. La catégorie de sécurité découle de l'art. 28 OSI et de la classification. Une catégorie élevée ou très élevée rend le besoin accru. Les autres critères rendent le besoin accru sans changer la catégorie. Les questions par objectif, les catégories et l'analyse de l'exemple sont des lignes et des colonnes, donc des tableaux.

Coût

Outils

Le modèle Excel P041-Hi01 (version 5.1.1, en français, en allemand et en anglais) conduit l'analyse fédérale onglet par onglet: page de garde, informations, conséquences, besoin de protection, exigences et catégorisation. Il calcule la catégorie de sécurité et les étapes suivantes à partir des réponses. Le SEPOS le publie gratuitement avec le guide P041. La page de résultat de HERMES Online y renvoie.

Le catalogue de classification du département fournit la classification de chaque groupe d'informations. L'instrument d'examen préalable des risques de l'Office fédéral de la justice évalue le risque pour les droits des personnes.

Le SEPOS publie sur la même page les modèles de la suite de la procédure: la liste de contrôle de la protection informatique de base (Si001-Hi01), le modèle de concept SIPD (P042-Hi01) et le tableur d'analyse de risque (P042-Hi02).

Hors de l'administration fédérale, un tableur bâti sur les objectifs et les échelons de l'organisation suffit. Plusieurs cantons publient leurs propres explications, par exemple Bâle-Campagne. L'organisation tient l'inventaire des actifs dans son outil de gestion de la sécurité de l'information ou sa base de configuration.

Sources

• Confédération suisse, Chancellerie fédérale, HERMES 2022, Manuel de référence Gestion de projet, résultat 4.4.1.45 Analyse des besoins de protection: la définition du résultat, son autre nom d'analyse SIPD et le renvoi de son contenu aux directives de l'organisation permanente.
• Confédération suisse, Chancellerie fédérale, HERMES 2022, Manuel de référence Gestion de projet, tâche 5.4.3.42 Élaborer l'analyse des besoins de protection: la règle d'une analyse par projet informatique, les conditions préalables, les activités et le concept SIPD qu'exige un besoin accru. Le même manuel fait reprendre ses conclusions par la tâche 5.4.3.45 Élaborer l'étude et attribue la tâche au responsable SIPD (§6.4.3.6).
• Office fédéral de la cybersécurité (OFCS), Guide pour l'analyse des besoins de protection (P041), version 1.0, 14 octobre 2024: l'objet informatique à protéger, la règle des conséquences sans la menace, les deux étapes, les critères, les catégories de sécurité et la suite de la procédure. Les articles de la LSI, de l'OSI, de la LPD et de l'OPDo sont cités tels que le guide les donne.
• Secrétariat d'État à la politique de sécurité (SEPOS), Procédure de sécurité: la base légale de la procédure, son renouvellement et sa vérification annuelle, le modèle Excel P041-Hi01 (version 5.1.1) et sa FAQ, la protection informatique de base Si001 et les modèles P042 du concept SIPD.
• Canton de Bâle-Campagne, Aufsichtsstelle Datenschutz, Erläuterungen und Beispiele Schutzbedarfsanalyse, V 1.9, 15.8.2024 (en allemand): les quatre objectifs de protection du canton, leurs échelons et l'exemple de l'adresse.