Ordonnance concernant la sécurité informatique (Ordonnance sur la sécurité informatique, ISV) (Informatiksicherheitsverordnung, ISV) - Principe (ISV)

1. Cette réglementation a pour objet de garantir une sécurité informatique et de l'information ordonnée, efficace et économique.

2. La réglementation détermine

a) la procédure, les compétences et les responsabilités pour garantir la sécurité des données et informations traitées par des systèmes et applications informatiques

b) les exigences fondamentales de sécurité à respecter lors du traitement de données ou d'informations avec des systèmes et applications informatiques

1. Cette ordonnance s'applique à

a) l'administration cantonale, les autorités judiciaires et les établissements de droit public

b) les communes et toutes les corporations de droit public dans le canton de Schaffhouse, dans la mesure où elles exploitent conjointement avec l'administration cantonale des systèmes et applications informatiques, échangent des données ou informations ou exploitent leurs propres applications auprès du SSC (Service Schaffhousien de la Cybersécurité)

c) les services ou unités administratives qui exécutent le droit fédéral ou accomplissent des tâches fédérales et utilisent pour cela des systèmes ou applications informatiques propres ou étrangers, dans la mesure où aucune exigence de sécurité de la part de la Confédération n'existe

1. Les expressions suivantes signifient

a) Systèmes informatiques : équipements et installations ainsi que l'infrastructure et les logiciels d'exploitation y afférents, qui sont utilisés pour le traitement électronique ou l'échange électronique de données ou d'informations

b) Applications informatiques : programmes qui permettent l'utilisation des systèmes informatiques pour l'accomplissement ou le soutien de tâches spécifiques, y compris les données traitées dans ce cadre

c) Informations : les informations sont des résultats de requêtes concrètes, obtenus à partir de données factuelles, financières ou personnelles

d) Titulaire de la collection de données : toute unité organisationnelle de l'administration publique du canton, des communes ou d'autres entités de droit public dans le canton de Schaffhouse, qui est responsable du traitement des données ou des informations dans le cadre d'une base légale

e) Opérateurs de bases de données centrales : généralement le fournisseur de services informatiques cantonal KSD, exceptionnellement d'autres opérateurs tiers ou le titulaire respectif de la collection de données, dans la mesure où la base de données est exploitée de manière décentralisée

2. Si, en raison d'une mission légale, il n'est pas clairement déterminé ou déterminable qui est le titulaire d'une collection de données ou l'opérateur d'une base de données, cela doit être convenu par écrit entre toutes les parties impliquées et un responsable du titulaire de la collection de données doit être désigné.

1. Le titulaire d'une collection de données et l'exploitant d'une base de données centrale sont tenus, dans leurs domaines de compétence respectifs, de sécuriser les systèmes informatiques, les applications, les données ou les informations contre la perte et les incidences indésirables, de les protéger contre l'accès non autorisé et la modification non autorisée, d'assurer les mesures de précaution nécessaires en cas d'urgence à cet égard et de faire respecter conjointement les principes de ce règlement.

2. Sauf disposition légale contraire, les normes internationales et nationales reconnues pour la sécurité informatique et la gestion de l'information s'appliquent à la licéité et à la sécurité dans le traitement des systèmes informatiques, des applications, des données ou des informations.

3. La KSD

a) gère les infrastructures de base

b) soutient toutes les unités organisationnelles soumises à ce règlement dans la mise en place et l'exploitation d'une informatique sécurisée ainsi que dans la mise en œuvre et le contrôle des mesures de sécurité

c) surveille le respect des exigences techniques de sécurité

d) est le point de contact pour toutes les unités organisationnelles soumises à ce règlement en matière de sécurité informatique

4. Le titulaire d'une collection de données et l'exploitant d'une base de données centrale sont responsables dans leur domaine de compétence des systèmes informatiques, des applications, des données ou des informations utilisés en ce qui concerne

a) la détermination des objectifs de protection

b) la classification selon les objectifs de protection

c) l'élaboration d'un plan de mesures pour atteindre les objectifs de protection et la mise en œuvre des exigences de sécurité

d) le contrôle de l'exploitation informatique et de la sécurité informatique relevant de leur domaine de compétence

5. Le responsable de la sécurité informatique (RSI) de la KSD est responsable de la mise en place, de l'implémentation, de la mise en œuvre et de l'adaptation de l'ensemble des principes de sécurité pour l'exploitation informatique et télécommunications de la KSD en tant que prestataire central de services informatiques et vis-à-vis de toutes les unités organisationnelles soumises à ce règlement.

6. Le comité technique de la KSD nomme un comité de sécurité (Security-Board), composé d'au moins trois personnes, dont au moins deux spécialistes familiers et expérimentés avec les questions de sécurité informatique. Ce comité conseille le RSI, est l'organe de contrôle des activités du RSI et la cellule d'escalade au sens du § 16 alinéa 1 de ce règlement.

1. Pour les systèmes informatiques, les applications et les informations, les objectifs de protection suivants s'appliquent

a) Disponibilité : Les systèmes informatiques, les applications, les données ou les informations sont accessibles et utilisables

b) Confidentialité : Les données ou informations ne sont accessibles qu'aux personnes autorisées

c) Intégrité : Les systèmes informatiques, les applications, les données ou les informations sont protégés contre les modifications non autorisées. Toutes les données et informations sont complètes et correctes

d) Traçabilité : Une chaîne d'événements peut être reconstituée a posteriori

e) Admissibilité et sécurité des révisions : conformément à l'article 12, alinéa 3 de ce règlement

2. Le détenteur de la collecte de données et l'exploitant d'une base de données doivent déterminer le besoin de protection des données et informations en fonction de ces objectifs de protection.

1. Les systèmes informatiques, les applications, ainsi que les données et les informations doivent être classifiés par toutes les unités organisationnelles soumises à ce règlement selon les critères suivants

a) Disponibilité: Durée de l'interruption de 3 jours ou plus (niveau faible); Durée de l'interruption de 1 à 3 jours (niveau moyen); Durée de l'interruption jusqu'à un jour (niveau élevé)

b) Confidentialité: Niveau P (public), Niveau N (données internes non classifiées), Niveau V (confidentiel), Niveau G (particulièrement sensible)

c) Intégrité: L'étendue d'une atteinte à l'utilisation des données dure plusieurs années (niveau très élevé); au maximum jusqu'à un an (niveau élevé); a un impact significatif mais ne durant pas plus d'un an sur le résultat de l'entreprise (niveau moyen)

d) Traçabilité: aucune traçabilité; traçabilité anonymisée; traçabilité personnelle

e) Validité juridique et sécurité de révision: via signature électronique et délais de conservation

2. La KSD émet une directive concernant la classification des données et informations.

3. Les détenteurs d'une collection de données et les opérateurs d'une base de données centrale sont autorisés à affiner la classification dans leur domaine de compétence et à émettre des directives internes supplémentaires pour leur propre unité organisationnelle.

1. Les titulaires d'une collection de données et l'exploitant d'une base de données centrale élaborent un plan des mesures organisationnelles et techniques qui garantissent l'atteinte des objectifs de protection identifiés. Les mesures respectent les exigences relatives à l'exploitation et à la sécurité (§ 9 et suivants) ainsi que les autres directives de la KSD (§ 14 et § 17). Le principe de proportionnalité, l'état de la technique et les moyens disponibles doivent être pris en compte.

2. Le plan de mesures comprend, pour tous les systèmes informatiques, applications, données ou informations utilisés, les indications suivantes

a) Objectifs de protection et classification

b) Contenu

c) Coûts

d) Responsabilités

e) Étapes de mise en œuvre et délais

f) Risque résiduel

g) Documentation

1. Les titulaires d'une collection de données et les gestionnaires d'une base de données centrale informent leurs employés des mesures de sécurité qu'ils doivent respecter.

2. Ils veillent à organiser une formation périodique pour leurs employés.

1. Pour prévenir la perte, les dommages et l'abus des systèmes informatiques, des applications, des données ou des informations et pour prévenir une interruption des activités commerciales, les bâtiments, locaux et équipements doivent être protégés contre les menaces à la sécurité.

2. Le Service de sécurité informatique (KSD) s'assure que les violations des principes de sécurité selon le présent règlement peuvent être retracées et reproduites de manière probante avec un effort raisonnable.

1. L'accès aux systèmes informatiques, aux applications, aux données ou aux informations est réglementé par l'appartenance à des groupes d'autorisation et/ou des rôles. Les utilisateurs sont intégrés dans les groupes d'autorisation et/ou les rôles nécessaires à l'exercice de leurs fonctions. Ils doivent s'authentifier de manière appropriée sur les systèmes informatiques.

2. Le titulaire d'un ensemble de données est compétent et responsable de l'attribution des droits d'accès ainsi que de leur mise à jour continue. Les systèmes informatiques doivent être en mesure d'authentifier les utilisateurs conformément à leurs autorisations.

3. Les méthodes d'authentification doivent être continuellement ajustées à la situation de risque et à l'état de la technique.

1. Les droits d'accès des employés, des contractants ou des utilisateurs tiers aux systèmes informatiques, applications, données ou informations doivent être immédiatement retirés par le détenteur d'un ensemble de données lorsque leur emploi, leur mission ou une utilisation correspondante est terminé, ou en cas de constatation d'un abus ou d'une violation des principes de sécurité conformément à ce règlement.

2. En cas de modification de l'emploi, de la mission ou de l'utilisation, les droits d'accès doivent être immédiatement ajustés par le détenteur d'un ensemble de données.

1. La sauvegarde des données sur les systèmes informatiques centraux de l'administration cantonale est de la responsabilité de la KSD. La sauvegarde comprend

a) l'identification des utilisateurs et leurs droits d'accès (objets)

b) les applications spécialisées et leurs données

c) les dépôts de données

d) les données de connexion pour le trafic Internet et e-mail

e) toutes les zones de données et programmes nécessaires à la reconstruction des systèmes informatiques

2. La sauvegarde des données peut également inclure des fichiers de journalisation.

3. Les données sauvegardées sont conservées séparément et en sécurité, et peuvent être utilisées pour la reconstruction des données perdues et analysées conformément aux concepts de sauvegarde établis. Leur conservation à des fins de preuve, conforme à la loi et sécurisée pour les audits, ainsi que leur archivage numérique à long terme, restent sous la responsabilité du détenteur d'une collection de données.

4. Pour la sauvegarde des données sur les systèmes informatiques locaux ou décentralisés, le détenteur d'une collection de données est lui-même responsable.

1. La KSD peut, dans le cadre de directives ou d'instructions, définir ou préciser davantage les exigences nécessaires au fonctionnement et à la sécurité, notamment en ce qui concerne

a) la standardisation et l'organisation des infrastructures

b) la protection d'accès et les analyses de sécurité

c) la communication électronique des données

d) l'échange de données

e) la sauvegarde et le stockage des données

f) la garantie de la continuité des opérations commerciales

g) l'utilisation d'Internet et des courriels

h) la protection contre les menaces telles que les logiciels malveillants, les virus informatiques, l'ingénierie sociale, le phishing, etc.

i) les supports de stockage mobiles et terminaux

j) les exigences relatives à l'utilisation et aux précautions de sécurité des médias sociaux

k) la gestion de l'informatique par les employés sur le lieu de travail et en dehors des locaux de l'entreprise

l) la gestion en cas de cessation ou de modification de la relation d'emploi

m) les nouvelles technologies et infrastructures

2. La KSD peut consulter et entendre les experts des détenteurs de collections de données pour l'élaboration de directives ou d'instructions.

1. Les irrégularités qui surviennent, le comportement inexplicable du système, la perte ou la modification des systèmes informatiques, des applications, des données ou des informations, le soupçon d’abus de son propre identifiant utilisateur ou d’autres incidents pertinents pour la sécurité doivent être signalés sans délai au responsable de la sécurité informatique de la KSD (RSI). Le RSI informe le délégué à la protection des données.

2. Le détenteur d'une collection de données et l'opérateur d'une base de données centrale mettent en place des procédures permettant une détection et une réaction rapides, efficaces et planifiées aux incidents pertinents pour la sécurité. La KSD les soutient dans ce cadre.

1. Les détenteurs d'une collection de données et les opérateurs d'une base de données centrale vérifient régulièrement, mais au moins une fois par an, les objectifs de protection et la classification des systèmes informatiques, des applications, des données et des informations sous leur responsabilité, ainsi que le respect et la pertinence des mesures de sécurité et les droits d'accès.

2. Le détenteur d'une collection de données et l'opérateur d'une base de données centrale mettent à jour les documentations nécessaires conformément à ce règlement et informent adéquatement et en temps opportun la KSD.

3. Si les tâches, l'organisation ou les systèmes informatiques, les applications ou les données et informations traitées changent, le détenteur d'une collection de données et l'opérateur d'une base de données centrale font les ajustements nécessaires (voir également § 11).

4. Le détenteur d'une collection de données et l'opérateur d'une base de données centrale peuvent faire examiner les objectifs de protection, la classification et les mesures prises par une instance externe qualifiée et indépendante en accord avec la KSD. Le contrôle financier du canton et de la ville de Schaffhouse, la KSD ainsi que le ou la délégué(e) cantonal(e) à la protection des données peuvent consulter les rapports.

1. Si le détenteur d'une collection de données ou l'exploitant d'une base de données centrale n'est pas d'accord avec les exigences de la KSD, il convient de saisir le Conseil de sécurité de la KSD (§ 4 al. 6). Le Conseil de sécurité cherche à trouver une solution amiable en impliquant l'entité appelante.

2. Si aucune solution amiable ne peut être trouvée dans les trois mois suivant la notification de la divergence au Conseil de sécurité, le Conseil d'État décide. Le délégué à la protection des données peut être consulté préalablement.

1. La KSD émet et publie toutes les instructions, directives ou règlements nécessaires concernant l'utilisation des systèmes informatiques, des applications, des données et des informations, afin d'assurer une utilisation et une exploitation sûres et économiques de l'informatique et pour concrétiser les objectifs de protection et les exigences de sécurité.

2. La KSD soutient les détenteurs d'une collection de données et les opérateurs d'une base de données centrale dans tous les aspects de l'exécution de ce règlement.

1. Les détenteurs d'une collection de données et l'exploitant d'une base de données centrale doivent établir, dans un délai de deux ans après l'entrée en vigueur du présent règlement, les objectifs de protection (§ 5), la classification (§ 6) et le plan de mesures (§ 7) pour tous les systèmes informatiques, applications, données et informations, en coordination avec la KSD.

1. Le règlement sur la protection et la sécurité des données chez « KSD Canton et Ville de Schaffhouse Traitement des données » (Règlement sur la protection des données) du 22 avril 1980 est abrogé.

1. Ce règlement entre en vigueur le 1er janvier 2015.

2. Il doit être publié au Journal officiel et intégré dans le recueil des lois cantonales.