Ordonnance sur la sécurité de l'information (ISV) - Objet et But (ISB)

1. Ce règlement régit la sécurité de l'information dans le canton de Bâle-Ville.

2. La sécurité de l'information vise à garantir la confidentialité, l'intégrité et la disponibilité des informations ainsi que l'imputabilité et la traçabilité des actions ou processus relatifs à celles-ci par des mesures appropriées.

1. Ce règlement s'applique aux unités organisationnelles du canton au sens de l'article 3, alinéa 1, lettre a de l'IDG, à l'exception des tribunaux.

1. Le Conseil exécutif porte la responsabilité globale de la sécurité de l'information.

2. Il établit la stratégie de sécurité de l'information et dirige la mise en œuvre de celle-ci à l'aide d'un système de gestion de la sécurité de l'information, en s'assurant de son adaptation en temps opportun aux conditions changeantes.

1. L'organe de pilotage pour la sécurité de l'information assiste le Conseil du Gouvernement en tant qu'organe consultatif et soumet les requêtes d'adaptation de la stratégie de sécurité de l'information. La présidente ou le président de l'organe de pilotage pour la sécurité de l'information présente un rapport annuel au Conseil du Gouvernement sur l'atteinte des objectifs de la stratégie dans les départements.

2. L'organe de pilotage pour la sécurité de l'information émet des directives et en contrôle le respect par le biais d'un rapport annuel établi par la déléguée ou le délégué cantonal à la sécurité de l'information (DSI).

3. Il décide de manière définitive sur les exceptions aux mesures de sécurité de l'information.

1. Le ou la RSI dirige le service central de sécurité de l'information et a les missions suivantes

a) l'élaboration de la stratégie de sécurité de l'information en tenant compte de la stratégie informatique cantonale ;

b) l'élaboration d'un rapport annuel sur la sécurité de l'information à l'intention de l'organe de direction pour la sécurité de l'information ;

c) l'évaluation des risques de sécurité de l'information à l'échelle cantonale sur la base de méthodes reconnues ;

d) la vérification des analyses des besoins de protection et des risques réalisées par le propriétaire des données et la recommandation de mesures de réduction des risques ;

e) l'élaboration et la mise à jour d'un registre des stocks d'informations disponibles et des applications d'information et de communication (applications TIC), y compris une liste de la ou du responsable propriétaire des données, du niveau de protection, ainsi que la tenue d'un registre des risques et des exceptions ;

f) la présidence de la Commission de la sécurité de l'information ;

g) l'assistance à l'organe de direction pour la sécurité de l'information et aux départements dans l'accomplissement de leurs tâches de conformité en matière de sécurité de l'information ;

h) la réalisation d'audits de sécurité de l'information dans les départements en concertation avec le prestataire central de services ;

i) la décision de première instance concernant les autorisations exceptionnelles de mesures de sécurité de l'information - les autorisations doivent être limitées dans le temps ;

j) l'élaboration de dispositions d'exécution pour la mise en œuvre de la stratégie de sécurité de l'information.

1. La Commission de la sécurité de l'information soutient l'organe de pilotage pour la sécurité de l'information ainsi que le ou la RSI dans l'accomplissement des tâches tactiques qui leur sont confiées.

2. Elle coordonne les activités des délégués départementaux pour la sécurité de l'information (DDSI) et développe des campagnes de sensibilisation à l'attention de l'organe de pilotage pour la sécurité de l'information.

1. Les départements garantissent la mise en œuvre opérationnelle de la stratégie de sécurité de l'information par des mesures appropriées et le système de gestion de la sécurité de l'information, ainsi qu'un rapport annuel à la/le RSI.

2. Chaque département désigne un/e DSI, qui assiste les départements dans la mise en œuvre des mesures et le rapport selon l'al. 1.

3. Les tâches des départements incluent notamment

a) la mise à disposition des ressources financières et humaines pour la mise en œuvre des mesures de sécurité de l'information ;

b) la création d'un répertoire des actifs d'information et des applications TIC existants, avec leurs niveaux de protection incluant la désignation de la propriétaire ou du propriétaire des données responsable, ainsi qu'un registre des risques ;

c) la mise à jour régulière du répertoire selon lit. b et la notification des changements à la/le DSI.

1. La responsabilité de la gestion des informations incombe à l'organe public qui traite les informations pour remplir ses obligations légales. Celui-ci est notamment chargé de déterminer le besoin de protection des stocks d'informations existants et des applications TIC selon les objectifs de protection conformément à l'article 8, paragraphe 2 IDG. Si une telle évaluation révèle un besoin de protection dépassant le niveau de protection de base, une analyse de risques incluant un plan d'actions pour réduire les risques doit être effectuée.

2. Le plan d'actions doit être examiné chaque année pour vérifier sa pertinence et sa mise à jour et doit, en tant que partie intégrante de la protection de base, contenir au minimum des dispositions sur les points suivants

a) l'établissement et la gestion d'un concept d'accès et d'autorisation ;

b) la conservation et la suppression des données en conformité avec les règlements d'archivage ;

c) l'échange sécurisé d'informations avec des tiers ;

d) la participation des employés au processus de sécurité et

e) la documentation des exceptions approuvées et rejetées aux mesures de sécurité de l’information ainsi que du registre des risques.

3. Le propriétaire des données rend compte de la mise en œuvre des mesures de sécurité de l'information dans le cadre du rapport annuel départemental.

1. Le ou la ISBD

a) est le point de contact pour le ou la ISB et le ou la délégué(e) à la protection des données ;

b) tient et met à jour un registre des risques au niveau du Département et documente les autorisations exceptionnelles ;

c) vérifie la mise en œuvre des mesures de sécurité organisationnelles et techniques ;

d) recommande des mesures de sécurité à mettre en œuvre ;

e) est le point de contact central pour les questions de sécurité dans le domaine des applications TIC ;

f) soutient la direction du Département dans l'élaboration des directives organisationnelles de sécurité ;

g) aide le propriétaire ou la propriétaire des données à garantir que les informations au Département sont protégées par des mesures organisationnelles et techniques appropriées ;

h) gère les audits de sécurité internes et externes ;

i) signale les lacunes techniques en matière de sécurité de l'information au ou à la ISB ;

j) représente le Département à la Commission de la sécurité de l'information ;

k) organise des événements d'information sur la sécurité de l'information au niveau du Département.

1. Le prestataire de services central est responsable du développement, de l'acquisition, de la fourniture, de l'entretien des applications TIC ainsi que du respect et de la mise en œuvre des directives dans le domaine de la sécurité de l'information, dont les départements ont besoin pour accomplir leurs tâches légales en conformité avec les exigences légales en matière de protection des données et de sécurité de l'information, dans la mesure où ces applications ne sont pas acquises de manière décentralisée.

2. Si les applications TIC sont obtenues auprès de tiers, il convient de s'assurer qu'elles respectent les directives selon alinéa 1.

3. Le prestataire de services central établit le rapport correspondant conformément à l'article 7 alinéa 1.

4. La ou le délégué(e) à la sécurité de l'information du prestataire de services central (DSIZ) assume, auprès de celui-ci, les fonctions du ou de la DSID.

5. Le prestataire de services central est autorisé à fournir des services à des tiers hors du champ d'application selon l'article 2, à condition que ceux-ci s'engagent à garantir au moins les exigences de sécurité cantonales. Le prestataire de services central est habilité à effectuer des contrôles correspondants ou à les déléguer.