Règlement de la politique de sécurité de l'information du Conseil supérieur de la justice, portant création du Comité et identification des rôles de sécurité de l'information, du 4 décembre 2024

Article 1. Objet

Le présent Règlement a pour objet d'établir les bases de la politique de sécurité de l'information du Conseil supérieur de la Justice ainsi que la création du Comité de sécurité de l'information, et ses règles d'organisation et de fonctionnement. Il identifie également les rôles participant à la sécurité de l'information.

Article 2. Objectif de la sécurité de l'information

L'objectif de la sécurité de l'information est de garantir la qualité de l'information et la prestation continue des services, en agissant de manière préventive, en supervisant l'activité quotidienne et en réagissant avec promptitude aux incidents.

Article 3. Champ d'application

1. La politique de sécurité de l'information et les procédures y afférentes sont applicables à tous les organes juridictionnels et à toutes les structures du Conseil supérieur de la Justice et de l'Administration de la justice.

2. Cette politique s'applique en particulier aux systèmes d'information du Conseil supérieur de la Justice qui sont liés à l'exercice des droits par voie électronique, à l'accomplissement des devoirs par voie électronique, à l'accès à l'information ou à la procédure administrative et, en général, à tous les systèmes qui servent de support à la prestation des services publics gérés par le Conseil supérieur de la Justice.

Article 4. Objectifs du système de gestion de la sécurité de l'information (SGSI)

Les objectifs fondamentaux de la politique de sécurité de l'information du CSJ sont les suivants :

1. Confidentialité : protéger la confidentialité des actifs informationnels par la mise en œuvre de contrôles d'accès et de mécanismes de protection des données adéquats.

2. Intégrité : garantir l'intégrité des actifs informationnels par la mise en œuvre de contrôles visant à empêcher la modification, la suppression ou la destruction non autorisée de données.

3. Disponibilité : assurer la disponibilité des actifs informationnels par la mise en œuvre de mesures adéquates de sauvegarde et de reprise après sinistre, et réduire au minimum l'impact des incidents.

4. Conformité : garantir le respect des lois, des réglementations et des obligations contractuelles applicables en lien avec la sécurité de l'information.

Article 5. Structure du système de gestion de la sécurité de l'information (SGSI)

1. L'ensemble des documents de la politique de sécurité de l'information du CSJ est structuré selon le modèle hiérarchique suivant, comprenant quatre types de normes :

a) Le Règlement de la politique de sécurité de l'information : cette norme énonce les principes de sécurité de l'information qui doivent être développés dans les documents des niveaux hiérarchiques suivants.

b) Réglementations internes : normes à caractère réglementaire dans lesquelles sont définis les objectifs de contrôle, en développant chacun des principes de sécurité de l'information détaillés dans cette politique.

c) Procédures internes : normes qui déterminent les actions concrètes qui doivent être suivies pour mettre en œuvre les objectifs de contrôle définis dans la réglementation. Ces normes émanent des réglementations ou d'autres procédures.

d) Instructions techniques internes : normes qui déterminent comment mettre en œuvre les exigences en matière de sécurité de l'information. Cette catégorie comprend également des manuels, des formulaires et des modèles, entre autres. Ces normes émanent des procédures ou d'autres instructions techniques.

2. Toutes les normes sont d'application obligatoire.

3. Les dispositions qui en contredisent une autre de rang supérieur sont dépourvues de validité.

Article 6. Finalité de la politique de sécurité de l'information

1. La politique de sécurité de l'information vise à identifier les conditions requises de protection de l'information afin d'assurer que tous les organes juridictionnels et toutes les structures du Conseil supérieur de la Justice et l'Administration de la justice protègent l'information, conformément aux réglementations légales et réglementaires applicables dans la Principauté d'Andorre.

2. De même, la politique de sécurité de l'information définit les lignes d'action qui font partie de la stratégie en matière de sécurité de l'information et développe les directives pour la gestion et la protection des actifs informationnels du Conseil supérieur de la Justice et l'utilisation adéquate de ces actifs.

Article 7. Organisation interne de la sécurité de l'information

1. Afin de garantir le respect et l'adaptation des mesures exigées par voie réglementaire, sont créés les rôles ou profils de sécurité suivants et sont désignés les postes ou organes qui doivent les occuper, lesquels sont définis au chapitre quatrième.

a) Responsable des systèmes d'information (RSI).

b) Délégué à la sécurité de l'information (DSI).

c) Délégué à la protection des données (DPD).

2. Des mesures techniques et organisationnelles doivent être mises en œuvre pour assurer le principe de séparation des fonctions suivantes :

a) Approbation des modifications relatives aux utilisateurs (autorisation ou validation).

b) Opérations de gestion des utilisateurs (ajouter, modifier ou supprimer des utilisateurs ou des droits et autorisations, ainsi que le changement de mots de passe).

c) Audits de sécurité de l'information et révision et mise en œuvre de contrôles visant à réduire le risque existant.

Article 8. Responsable des systèmes d'information (RSI)

1. Le responsable des systèmes d'information est la personne responsable de la planification, de la mise en œuvre et de la gestion des TIC au sein du CSJ.

2. Ses fonctions sont définies au chapitre quatrième.

Article 9. Délégué à la sécurité de l'information (DSI)

1. Le délégué à la sécurité de l'information est la personne chargée de faire réaliser l'analyse des risques et d'identifier les lacunes et les faiblesses et de les porter à la connaissance du Comité de sécurité de l'information. Il est responsable d'établir et de superviser la stratégie de sécurité du Conseil supérieur de la Justice, ainsi que de garantir que ses systèmes et ses données soient protégés contre les attaques et les pertes.

2. Les fonctions d'un DSI sont définies au chapitre quatrième.

Article 10. Délégué à la protection des données (DPD)

1. Le délégué à la protection des données est chargé de garantir le respect de la réglementation en matière de protection des données, ainsi que de la tenue et de la mise à jour du registre des activités de traitement, et du suivi de la législation relative à la vie privée concernant le Conseil supérieur de la Justice.

2. Les fonctions du DPD sont celles établies au chapitre quatrième.

Article 11. C onseil supérieur de la Justice (CSJ)

1. Le Conseil supérieur de la Justice (CSJ) est l'organe de représentation, de gouvernement et d'administration de l'organisation judiciaire de la Principauté d'Andorre qui veille au bon fonctionnement de la justice.

2. Ses fonctions en matière de sécurité de l'information sont les suivantes :

a) Diriger et fournir la structure de gestion et les ressources nécessaires pour mettre en œuvre la présente politique.

b) S'assurer du respect des conditions requises de sécurité de l'information dans tous les processus.

c) Participer à la révision des politiques et des activités de sécurité de l'information et approuver la réglementation d'application du SGSI sur proposition du CSI.

d) Assurer le financement des activités de sécurité de l'information.

3. Le Conseil supérieur de la Justice doit être informé et consulté sur :

a) Les propositions de modification de la politique de sécurité de l'information.

b) La mise en œuvre de la présente politique dans les organes et les structures du Conseil supérieur de la Justice et de l'Administration de la justice.

Article 12. Comité de sécurité de l'information (CSI)

1. Le Comité de sécurité de l'information est chargé de promouvoir, de conseiller, de gérer et de superviser la sécurité de l'information et de veiller à celle-ci.

2. La composition, les fonctions et l'organisation du CSI sont régies par le chapitre troisième.

Article 13. Exigences de sécurité

Le Conseil supérieur de la Justice, afin d'atteindre les principes de base et les conditions requises minimales de sécurité, doit mettre en œuvre diverses mesures de sécurité proportionnées à la nature de l'information et des services à protéger, en tenant compte de la catégorie des systèmes concernés.

Article 14. La sécurité en tant que processus intégral

1. La sécurité constitue un processus composé de l'ensemble des éléments techniques, humains, matériels et organisationnels liés au système. L'application de la politique de sécurité du CSJ est régie par ce principe, qui exclut toute action ponctuelle ou tout traitement conjoncturel.

2. La plus grande attention doit être accordée aux personnes qui interviennent dans le processus et à leurs responsables hiérarchiques, afin que la sensibilisation, l'organisation et la coordination, conjointement avec des instructions appropriées, garantissent la sécurité à tout moment.

Article 15. Principe du moindre privilège

Les systèmes doivent être conçus de manière à garantir la sécurité par défaut, de la manière suivante :

a) Le système doit fournir la fonctionnalité minimale requise pour la prestation des services.

b) Les fonctions d'exploitation, d'administration et d'enregistrement de l'activité doivent être les minimales nécessaires, et il doit être assuré qu'elles ne sont accessibles qu'aux personnes ou à partir d'emplacements ou d'équipements, autorisés : le cas échéant, des restrictions horaires et des points d'accès habilités peuvent être exigés.

c) Dans un système d'exploitation, les fonctions qui sont inutiles ou inadaptées à la finalité poursuivie doivent être supprimées ou désactivées, au moyen du contrôle de la configuration. L'usage ordinaire du système doit être simple et sûr, de sorte qu'une utilisation non sécurisée requière un acte conscient de la part de l'utilisateur. Des guides de configuration de sécurité pour les différentes technologies, adaptés à la catégorisation du système, doivent être appliqués à cet effet.

Article 16. Surveillance continue, réévaluation périodique et intégrité, mise à jour du système et amélioration continue du processus de sécurité

1. La surveillance continue permet la détection d'activités ou de comportements anormaux et une réponse en temps utile.

2. L'évaluation permanente de l'état de la sécurité des actifs permet de mesurer leur évolution, en détectant les vulnérabilités et en identifiant les défaillances de configuration.

3. Les mesures de sécurité doivent être réévaluées et mises à jour périodiquement, en adaptant leur efficacité à l'évolution des risques et des systèmes de protection. Une refonte de la sécurité peut être envisagée, si nécessaire.

4. L'inclusion de tout élément physique ou logique dans le catalogue actualisé des actifs du système, ou sa modification, requiert une autorisation formelle préalable.

5. L'évaluation et la surveillance permanentes permettent d'adapter l'état de sécurité des systèmes en tenant compte des défaillances de configuration, des vulnérabilités identifiées et des mises à jour qui les concernent, ainsi que la détection initiale de tout incident survenant sur ces systèmes.

6. Le processus intégral de sécurité mis en place doit être mis à jour et amélioré de manière continue. À cette fin, les critères et les méthodes reconnus dans la pratique nationale et internationale relatifs à la gestion de la sécurité des technologies de l'information doivent être appliqués.

7. De même, la révision périodique par des tiers doit être demandée afin d'obtenir une évaluation indépendante.

Article 17. Sécurité relative aux ressources humaines

1. Le Conseil supérieur de la Justice dispose d'un plan de sécurité de l'information qui comprend des mesures pendant toute la relation de travail des employés :

a) Avant l'embauche :

• Le Conseil supérieur de la Justice doit procéder aux vérifications de sécurité des candidats.

b) Pendant la relation de travail :

• Les employés doivent recevoir une formation en sécurité de l'information.
• Les responsables de chaque structure organisationnelle sont chargés de garantir que les employés respectent les politiques de sécurité.
• Il existe un plan de télétravail pour protéger les données lorsque les employés travaillent en dehors du bureau.
• Une procédure disciplinaire est suivie en cas de manquements à la sécurité de l'information.

c) Fin ou changement de la relation de travail :

• À la fin de la relation de travail, les accès et les identifiants des employés sont supprimés.
• Les responsables de chaque structure doivent réviser périodiquement les identités et les autorisations des employés.

2. La sécurité des systèmes d'information est prise en charge, révisée et auditée par un personnel qualifié, dédié et formé à toutes les phases de leur cycle de vie : planification, conception, acquisition, construction, déploiement, exploitation, maintenance, gestion des incidents et démantèlement.

3. De manière objective et non discriminatoire, le Conseil supérieur de la Justice exige que les organisations qui lui fournissent des services disposent de professionnels qualifiés et de niveaux appropriés de gestion et de maturité des services fournis.

Article 18. Gestion des actifs

1. La gestion des actifs du SGSI est le processus consistant à identifier, classer, inventorier, protéger, surveiller et contrôler les actifs informationnels du Conseil supérieur de la Justice et de l'Administration de la justice. Ce processus est essentiel et permet d'identifier les actifs les plus précieux et de prendre les mesures nécessaires pour les protéger.

2. Les points les plus importants inclus dans cette procédure sont :

a) Inventaire des actifs.

b) Propriété des actifs.

c) Analyse des risques.

d) Classification de l'information.

e) Gestion des supports.

Article 19. Gestion de la sécurité fondée sur les risques et analyse et gestion des risques

1. L'analyse et la gestion des risques constituent une partie essentielle du processus de sécurité et doivent être une activité continue et mise à jour en permanence.

2. La gestion des risques permet de maintenir un environnement contrôlé et de réduire les risques à des niveaux acceptables. La réduction à ces niveaux doit être réalisée au moyen d'une application appropriée de mesures de sécurité, de manière équilibrée et proportionnée à la nature des informations traitées, des services à fournir et des risques auxquels ils sont exposés.

3. Tous les systèmes concernés par la présente politique de sécurité et tous les traitements de données personnelles doivent faire l'objet d'une analyse des risques, en évaluant les menaces et les risques auxquels ils sont exposés. Cette analyse doit être réalisée :

a) Régulièrement, au moins une fois par an.

b) Lorsque les services fournis ou les informations traitées changent de manière significative.

c) Lorsque survient un incident grave de sécurité ou que des vulnérabilités graves sont détectées.

4. Le délégué à la sécurité de l'information est chargé de faire réaliser l'analyse des risques, ainsi que d'identifier les lacunes et les faiblesses et de les porter à la connaissance du Comité de sécurité de l'information.

5. Cette gestion est effectuée au moyen de l'analyse et du traitement des risques auxquels le système est exposé. Une méthodologie reconnue internationalement doit être employée. Les mesures adoptées pour atténuer ou supprimer les risques doivent être justifiées et, en tout état de cause, il doit exister une proportionnalité entre les mesures et les risques.

Article 20. Contrôle des accès

1. Une procédure doit être établie, détaillant les responsables du contrôle et du suivi des autorisations afin de respecter ses principes fondamentaux, qui consistent en l'identification, l'authentification et l'autorisation, les détails techniques des types d'identifiants à utiliser, les accès temporaires et la péremption (caducité) de ces identifiants.

2. L'objectif lors de l'élaboration de la politique de contrôle d'accès est d'attribuer aux utilisateurs le moins de privilèges possible et uniquement pour la durée nécessaire à l'accomplissement d'une tâche déterminée.

3. Les points les plus importants inclus dans cette procédure sont :

a) Accès aux réseaux et aux services connectés.

b) Gestion des accès des utilisateurs.

c) Contrôle d'accès aux systèmes et aux applications.

Article 21. Cryptographie

1. Tous les accès à l'information depuis l'extérieur s'effectuent par des canaux chiffrés et l'information doit toujours être stockée de manière chiffrée. Les mesures de contrôle relatives à l'utilisation efficace de la cryptographie sont importantes pour protéger la confidentialité et l'intégrité de l'information.

2. Les procédures de cryptographie reposent sur deux grands principes fondamentaux :

a) Politique d'utilisation des contrôles cryptographiques.

b) Gestion des clés.

Article 22. S écurité physique de l'environnement

Des mesures de contrôle physiques doivent être identifiées et établies afin de protéger de manière adéquate les actifs informationnels et d'éviter les incidents portant atteinte à l'intégrité physique de l'information ou les interférences indésirables avec les services. À cet égard et au minimum :

a) Les visiteurs doivent être authentifiés : la date et l'heure d'entrée/sortie doivent être enregistrées.

b) L'accès physique aux lieux où des informations sont stockées doit être restreint par un contrôle d'accès.

c) Le personnel travaillant dans des zones sécurisées doit être tenu de porter une identification et les agents de sécurité doivent être avertis si une personne n'utilise pas l'identification requise.

d) Les droits d'accès doivent être révisés périodiquement et doivent être révoqués selon le cas.

e) La politique du bureau et de l'écran propres doit être appliquée ; elle définit la confidentialité de documents tels que les données personnelles ou les informations financières, afin qu'ils ne soient pas à la vue de personnes non autorisées sur des tables ou des comptoirs, pour protéger les informations sensibles.

Article 23. Procédures opérationnelles et responsabilités

1. La documentation des procédures et de la politique de sécurité de l'information relève de la responsabilité du CSI, qui est chargé de l'élaborer, de la modifier et de la conserver.

2. Des procédures opérationnelles spécifiques doivent être créées concernant :

a) La protection contre le code malveillant.

b) La protection contre les logiciels de rançon (ransomware).

c) Les copies de sauvegarde.

d) Le suivi et l'enregistrement des événements.

e) Le contrôle des logiciels opérationnels.

f) La gestion technique des vulnérabilités.

Article 24. Sécurité des communications

1. La Direction de la transformation numérique doit disposer de procédures pour la gestion sécurisée des réseaux. La sécurité des communications est un contrôle de sécurité de l'information axé sur la protection de la confidentialité, de l'intégrité et de la disponibilité de l'information pendant sa transmission et sa réception.

2. Les contrôles de sécurité appropriés pour les communications doivent tenir compte des principes suivants :

a) Protection contre l'accès non autorisé, comme les messages cryptés.

b) Assurer l'adressage et le transport corrects des messages.

c) Fiabilité et disponibilité du service.

d) Considérations juridiques (signatures numériques).

Article 25. Acquisition, développement et maintenance des systèmes d'information

1. Des procédures doivent être établies pour la gestion sécurisée de l'acquisition, du développement et de la maintenance des logiciels et du matériel nécessaires au bon fonctionnement des services.

2. Les principes d'ingénierie sécurisés exigent de documenter des procédures sur la manière de mettre en œuvre des mesures de sécurité dans les techniques de développement suivantes :

a) Procédures sécurisées pour la conception et le codage (élaboration de code sécurisé).

b) Processus de conception de mécanismes d'authentification difficiles à contourner.

c) Processus de somatisation de variables.

d) Procédures pour l'utilisation correcte de la cryptographie.

e) Autres.

Article 26. Sécurité dans les relations avec les fournisseurs

1. Une procédure de révision de la sécurité de l'information des fournisseurs doit être créée, détaillant les conditions requises d'évaluation et le traitement du risque avec les fournisseurs eux-mêmes.

2. Cette procédure doit être adaptée aux risques généraux que suppose l'externalisation de l'hébergement de serveurs, d'applications de données et de services de communication.

3. Les informations du Conseil supérieur de la justice doivent être protégées par les fournisseurs des services. À cette fin, les contrats de prestation de services doivent inclure des clauses précisant les conditions de sécurité que les fournisseurs doivent respecter.

Article 27. G estion des incidents de sécurité de l'information

1. Les incidents relatifs au Service de la Transformation numérique doivent être communiqués au Conseil supérieur de la Justice, qui applique les activités détaillées dans la procédure de gestion des incidents.

2. Cette procédure a pour objectif d'assurer une approche cohérente et efficace pour l'identification, l'évaluation, le confinement, l'éradication et la récupération des incidents de sécurité de l'information, y compris la communication des événements de sécurité et des vulnérabilités.

3. Les contrôles sont regroupés dans les catégories suivantes :

a) Mise en place d'un processus de gestion des incidents.

b) Identification et évaluation des incidents.

c) Confinement et éradication des incidents.

d) Récupération des données.

e) Communication des incidents.

4. Il doit exister un processus intégral de détection, de réaction et de récupération face aux codes malveillants, au moyen de l'élaboration de procédures couvrant les mécanismes de détection, les critères de classification et les procédures d'analyse et de décision, ainsi que les voies de communication aux parties intéressées et l'enregistrement des actions. Cet enregistrement est utilisé pour l'amélioration continue de la sécurité du système.

a) Les mesures de prévention peuvent intégrer des composantes axées sur la dissuasion ou sur la réduction de la surface d'exposition, et doivent éliminer ou réduire la possibilité que les menaces se concrétisent.

b) Les mesures de détection visent à découvrir la présence d'un cyberincident.

c) Les mesures de réponse sont gérées en temps opportun et sont axées sur la restauration de l'information et des services qui auraient pu être affectés par un incident de sécurité.

d) Le système d'information garantit la conservation des données et de l'information sur support électronique.

5. Afin que l'information et les services ne soient pas affectés par des incidents de sécurité, le Conseil supérieur de la Justice met en œuvre les mesures de sécurité établies par les NIS-AD, l'ENS-AD et le RIC-AD, ainsi que tout autre contrôle supplémentaire qu'il a identifié comme nécessaire, au moyen d'une évaluation des menaces et des risques. Ces contrôles, ainsi que les rôles et les responsabilités de sécurité de l'ensemble du personnel, sont clairement définis et documentés.

6. Lorsqu'un écart significatif par rapport aux paramètres préétablis comme normaux se produit, les mécanismes de détection et de signalement nécessaires doivent être mis en place afin qu'ils parviennent régulièrement aux responsables.

7. Les mesures suivantes de réaction face aux incidents de sécurité sont établies :

a) Des mécanismes pour répondre efficacement aux incidents de sécurité.

b) Désigner un point de contact pour les communications relatives aux incidents détectés dans d'autres départements ou dans d'autres organismes.

c) Établir des protocoles pour l'échange d'informations relatives à l'incident. Cela inclut les communications, dans les deux sens, avec les équipes de réponse aux urgences (CERT).

d) Afin de garantir la disponibilité des services, le Conseil supérieur de la Justice dispose des moyens et des techniques nécessaires permettant de garantir la récupération des services les plus critiques.

Article 28. Lignes de défense et prévention face à d'autres systèmes interconnectés

1. Le Conseil supérieur de la Justice doit mettre en œuvre une stratégie de protection du système d'information constituée de multiples couches de sécurité, constituées de mesures organisationnelles, physiques et logiques, de sorte que, lorsqu'une couche a été compromise, elle permette de développer une réaction adéquate face aux incidents qui n'ont pas pu être évités, en réduisant la probabilité que le système soit compromis dans son ensemble et minimiser son impact final.

2. Le périmètre du système d'information doit être protégé, en particulier lorsque le système du Conseil supérieur de la Justice est connecté à des réseaux publics, tels que définis dans la législation en vigueur en matière de télécommunications, et les tâches de prévention, de détection et de réponse aux incidents de sécurité doivent être renforcées.

3. En tout état de cause, les risques découlant de l'interconnexion du système avec d'autres systèmes doivent être analysés et leur point de jonction est contrôlé. Pour l'interconnexion adéquate entre systèmes, il convient de s'en tenir aux dispositions de l'instruction technique de sécurité correspondante.

Article 29. Continuité des opérations

1. La continuité des opérations est un processus systématique visant à identifier, évaluer et atténuer les risques qui pourraient interrompre les opérations critiques des organes et des structures de l'Administration de la justice et du Conseil supérieur de la Justice. L'intégration de la Sécurité de l'information garantit que les actifs informationnels sont protégés de manière adéquate contre les incidents de sécurité, y compris pendant une interruption du service.

2. Cette procédure identifie les aspects suivants de sécurité de l'information :

a) Identification et évaluation des actifs informationnels critiques pour la continuité du service.

b) Évaluation des risques de sécurité de l'information qui pourraient affecter les actifs critiques.

c) Mise en œuvre de contrôles de sécurité de l'information pour atténuer les risques identifiés.

d) Test périodique des contrôles de sécurité de l'information afin d'en garantir l'efficacité.

e) Planification de la continuité du service afin de garantir que les actifs informationnels critiques sont disponibles et accessibles en cas d'interruption du service.

Article 30. Gestion de projets

1. Chaque nouveau projet qui doit être mis en œuvre doit inclure un processus de révision afin d'assurer le respect correct de la présente politique.

2. Tous les processus de révision qui affectent la gestion de l'information du Conseil supérieur de la Justice et de l'Administration de la justice doivent être documentés conformément aux recommandations du Service de la Transformation numérique.

Article 31. Fonction différenciée et organisation et mise en place du processus de sécurité

Le Conseil supérieur de la Justice organise sa sécurité en y impliquant tous les membres et les structures de l'institution au moyen de la désignation de différents rôles de sécurité dotés de responsabilités clairement différenciées, tel que prévu à l'article 7 (Organisation interne de la sécurité de l'information).

Article 32. Prestation de services à des tiers par le Conseil supérieur de la Justice et l'Administration de la justice

1. Lorsque le Conseil supérieur de la Justice fournit des services à d'autres organismes ou gère des informations d'autres organismes, ceux-ci doivent être associés à la présente politique de sécurité de l'information.

2. Le Conseil supérieur de la Justice doit définir et approuver les canaux de coordination de l'information et les procédures d'action pour la réaction face aux incidents de sécurité, ainsi que les autres actions qu'il mène en matière de sécurité en relation avec d'autres organismes.

3. Lorsque le Conseil supérieur de la Justice utilise des services de tiers ou cède des informations à des tiers, ceux-ci doivent être associés à la présente politique de sécurité et à la réglementation de sécurité applicable à ces services ou informations.

Article 33. Responsabilité à l'égard de la gestion de la sécurité de l'information

1. L'ensemble du personnel et des collaborateurs internes et externes du Conseil supérieur de la Justice et de l'Administration de la justice sont responsables d'assurer le respect des principes de la présente politique et des documents normatifs internes du Conseil supérieur de la Justice qui la développent, ainsi que des lois et réglementations en vigueur en matière de sécurité de l'information.

2. Le Conseil supérieur de la Justice se réserve tout droit d'action légale ou disciplinaire en cas de manquement à la présente politique.

Article 34. Révision et approbation du SGSI

1. Les modifications et exceptions au système de gestion de la sécurité de l'information sont approuvées par le CSJ sur proposition du CSI.

2. Le CSI est chargé de diriger la révision annuelle du SGSI afin d'en évaluer le fonctionnement et d'indiquer les domaines d'amélioration.

Article 35. Approbation de la politique de sécurité de l'information

1. Le SGSI du Conseil supérieur de la Justice établit les conditions requises concises et minimales que doivent respecter toutes les unités organisationnelles désignées à cet effet. Ces conditions requises sont conçues pour être faciles à comprendre et à respecter.

2. Les procédures visées dans la présente politique et leurs modifications relèvent de la responsabilité du CSI.

Article 36. Révision de la politique de sécurité de l'information

Le CSI est chargé de diriger annuellement la révision de la politique de sécurité de l'information et, si des modifications sont nécessaires, il élabore les propositions afin que le Conseil supérieur de la Justice les approuve ultérieurement.

Article 37. Nature

Il est créé le Comité de la sécurité de l'information en tant qu'organe de gestion et de supervision en matière de sécurité du Conseil supérieur de la Justice.

Article 38. Composition

1. Le Comité de sécurité de l'information est composé des membres suivants :

a) Président : responsable des systèmes d'information (RSI).

b) Vice-président : délégué à la sécurité de l'information (DSI).

c) Membre : délégué à la protection des données (DPD).

d) Membre : représentant élu par le Conseil supérieur de la Justice.

2. À titre facultatif, d'autres membres du Conseil supérieur de la Justice et du personnel technique spécialisé, qu'ils soient à caractère interne, externe ou mixte, peuvent se joindre aux travaux du CSI. En tout état de cause, ces personnes ne disposent pas du droit de vote.

3. Le président a pour fonctions de représenter le CSI, de convoquer, d'établir l'ordre du jour et de présider les séances du CSI, ainsi que de signer les procès-verbaux, les certifications d'accords, les rapports ou autres avis.

4. Le vice-président a pour fonctions de remplacer le président en cas d'absence, de maladie ou pour toute cause l'empêchant d'exercer ses fonctions, ainsi que toute fonction que le président lui confie.

5. Les membres ont pour fonctions celles qui leur sont confiées par le président ou le vice-président.

Article 39. Fonctions du CSI

1. Le CSI a pour fonctions de :

a) Aligner la politique de sécurité de l'information sur les objectifs de sécurité stratégiques du Conseil supérieur de la Justice.

b) Assurer la mise en œuvre et l'exécution de la politique de sécurité de l'information.

c) Identifier et gérer les risques de sécurité.

d) Garantir la sécurité des données et des systèmes d'information du Conseil supérieur de la Justice et de l'Administration de la justice.

e) Coordonner les efforts des services en matière de sécurité de l'information, afin d'assurer qu'ils soient cohérents, alignés sur la stratégie décidée en la matière, et d'éviter les doublons.

f) Proposer des plans d'amélioration de la sécurité de l'information, avec la dotation budgétaire correspondante, et hiérarchiser les actions en matière de sécurité lorsque les ressources sont limitées.

g) Veiller à ce que la sécurité de l'information soit prise en compte dans tous les projets, depuis leur spécification initiale jusqu'à leur mise en exploitation. En particulier, veiller à la création et à l'utilisation de services horizontaux qui réduisent les doublons et soutiennent un fonctionnement homogène de tous les systèmes TIC.

h) Assurer le suivi de la gestion des incidents de sécurité et recommander d'éventuelles actions spécifiques.

i) Proposer et réviser la réglementation de sécurité de l'information en vue de son approbation.

j) Élaborer et approuver les conditions requises de formation et de qualification des administrateurs, opérateurs et utilisateurs du point de vue de la sécurité de l'information.

k) Promouvoir la réalisation des audits périodiques ENS-AD et de protection des données permettant de vérifier le respect des obligations du Conseil supérieur de la Justice en matière de sécurité de l'information.

l) Autres fonctions que le Conseil supérieur de Justice estime opportunes en matière de sécurité de l'information.

2. Les fonctions attribuées au CSI par un autre organe ne peuvent pas être déléguées, mais elles peuvent être révoquées à tout moment.

Article 40. Fonctionnement et organisation du CSI

1. Engagement de participation active Afin de pouvoir s'acquitter de leurs obligations, les membres du CSI s'engagent à participer activement aux réunions et à apporter leurs points de vue pour garantir la sécurité et la protection des données du Conseil supérieur de la Justice et de l'Administration de la justice.

2. Séances Le CSI se réunit trimestriellement, ou lorsque des propositions ou des événements le justifient, en présentiel, dans les locaux du Conseil supérieur de la Justice, ou bien au moyen d'autres systèmes de communication garantissant la participation correcte des membres. Les séances du CSI sont convoquées par le président. Les convocations doivent comprendre l'ordre du jour et la documentation devant être examinée.

3. Ordre du jour Les points de l'ordre du jour d'une réunion du CSI doivent comprendre les sujets suivants :

a) Lecture et approbation du procès-verbal de la réunion précédente.

b) Suivi des projets.

c) Examen des menaces et des vulnérabilités.

d) Révision des métriques de sécurité afin d'évaluer la performance du programme de sécurité.

e) Autres sujets en fonction des circonstances concurrentes, tels que les plans de réponse aux incidents avec l'évaluation des dommages et les formules d'atténuation des attaques, ou les révisions des résultats des audits afin d'identifier et de traiter les vulnérabilités.

4. Quorum Le CSI est valablement constitué en présence de trois des quatre membres sur première convocation et de la moitié des membres sur seconde convocation. Le CSI est également valablement constitué sans convocation préalable si tous les membres sont réunis et décident à l'unanimité de se constituer en séance.

5. Accords du Comité de sécurité de l'information Les accords du CSI sont adoptés à la majorité simple des membres. La voix du président est prépondérante en cas de partage. À titre extraordinaire, les actions qui n'ont pas été convenues au préalable, qui ont pour finalité la protection des intérêts du CSJ et de l'Administration de la justice, et qui requièrent une prise de décision immédiate peuvent être approuvées par le président ou, en son absence, par le vice-président, et nécessitent la confirmation ultérieure du CSI. La délégation de votes au sein du CSI est interdite. Les membres en désaccord avec les accords adoptés peuvent faire consigner leur désaccord au procès-verbal.

6. Procès-verbaux Il doit être dressé, pour chaque séance, le procès-verbal correspondant, qui comprend les sujets traités et les accords adoptés. Les procès-verbaux, signés par le président, doivent être transmis aux membres du CSI. Tout membre du CSI ou du Conseil supérieur de la Justice a le droit de demander et d'obtenir une copie, totale ou partielle, des procès-verbaux des réunions du CSI. Le président doit certifier ces copies.

7. Groupes de travail Pour l'exercice des fonctions du CSI, des groupes de travail peuvent être constitués afin d'accomplir des tâches spécifiques portant sur une thématique concrète et spécialisée. Les groupes de travail peuvent être composés de personnes employées par le Conseil supérieur de la Justice ou bien de spécialistes extérieurs au CSJ, la présidence devant toutefois toujours revenir à un membre du CSI. Les fonctions, la composition et le régime de fonctionnement de ces groupes sont définis dans l'accord de constitution approuvé par le CSI.

Article 41. Désignation des rôles en matière de sécurité de l'information

1. Les rôles de sécurité et la description des postes qui les occupent sont les suivants :

a) Responsable des systèmes d'information (RSI).

b) Délégué à la sécurité de l'information (DSI).

c) Délégué à la protection des données (DPD).

2. Les compétences attribuées aux rôles, lorsqu'elles sont assignées à du personnel faisant partie de la structure du Conseil supérieur de la Justice, sont intégrées dans la description des fonctions de ces postes de travail.

Article 42. Responsable des systèmes d'information (RSI)

1. Le responsable des systèmes d'information doit occuper un poste de responsabilité et de direction au sein de la structure du CSJ.

2. Le responsable des systèmes est établi au niveau opérationnel. Toutefois, des délégués de ce responsable peuvent être désignés conformément à la politique de sécurité du Conseil supérieur de la Justice.

3. Les fonctions générales du responsable des systèmes d'information sont les suivantes :

a) Définir la politique en matière de TIC du Conseil supérieur de la Justice et de l'Administration de la justice.

b) Planifier et mettre en œuvre les projets de TIC.

c) Gérer les ressources de TIC.

d) Fournir un support technique aux utilisateurs.

e) Garantir la sécurité et la confidentialité des données.

4. Les fonctions spécifiques du responsable des systèmes d'information sont les suivantes :

a) Identifier les besoins en matière de sécurité de l'information : le RSI doit travailler avec les organes juridictionnels et les structures du Conseil supérieur de la Justice et de l'Administration de la justice afin d'identifier les besoins en matière de sécurité de l'information du Conseil supérieur de la Justice. Ces besoins peuvent varier en fonction de la nature des données gérées par le Conseil supérieur de la Justice.

b) Planifier et développer l'infrastructure de TIC du Conseil supérieur de la Justice. Cela comprend la planification de l'achat de nouveaux équipements et logiciels, la mise en œuvre de nouvelles technologies, la résolution de problèmes, la prévention des pannes, la supervision de la performance des systèmes et la gestion des systèmes existants.

c) Gérer les incidents de sécurité : cela implique d'enquêter sur la cause de l'incident, d'identifier les données compromises et de prendre des mesures correctives.

d) Collaborer avec les organes juridictionnels et les structures du Conseil supérieur de la Justice et de l'Administration de la justice afin de garantir la sécurité de l'information et le succès de tout programme de sécurité de l'information.

5. Lorsque la complexité du système le justifie, le RSI peut proposer au CSI la désignation des responsables du système délégués qu'il estime nécessaires, qui relèvent fonctionnellement directement du RSI et doivent être responsables, dans leur domaine, de toutes les actions que le RSI lui-même leur délègue.

Article 43. Délégué à la sécurité de l'information (DSI)

1. Le délégué à la sécurité de l'information détermine les décisions visant à satisfaire aux conditions requises de sécurité du Conseil supérieur de la Justice.

2. Le responsable de la sécurité exerce les fonctions que lui confient la Loi relative aux mesures pour la sécurité des réseaux et des systèmes d'information et la réglementation qui la développe ; il s'agit notamment des suivantes :

a) Diriger et coordonner le développement et la mise en œuvre du SGSI : il garantit que le SGSI est conçu et mis en œuvre de manière effective pour protéger l'information du Conseil supérieur de la Justice et de l'Administration de la justice.

b) Garantir que le Conseil supérieur de la Justice et l'Administration de la justice respectent les réglementations et conditions requises de sécurité applicables.

c) Informer et former les travailleurs sur l'importance de la sécurité de l'information et sur la manière de protéger l'information du Conseil supérieur de la Justice et de l'Administration de la justice.

d) Réaliser des audits et des évaluations périodiques de la sécurité de l'information afin d'identifier et de résoudre les risques de sécurité.

e) Recenser et tenir à jour un inventaire de tous les actifs informationnels du Conseil supérieur de la Justice et de l'Administration de la justice. Cet inventaire doit contenir des informations sur la classe de sécurité de chaque actif, sa localisation, ses propriétaires et les risques associés.

f) Former et sensibiliser le personnel à la sécurité informatique. Cette formation doit couvrir des thèmes de bonnes pratiques, tels que la sécurité des mots de passe, l'utilisation de logiciels sûrs et la détection d'attaques, entre autres.

g) Élaborer et mettre en œuvre une politique de sécurité de l'information. La politique de sécurité de l'information définit les objectifs, les mesures et les procédures de sécurité du Conseil supérieur de la Justice. Le RSI est responsable de l'élaboration et de la mise en œuvre de cette politique.

h) Superviser le respect de la politique de sécurité de l'information.

i) Réaliser une évaluation des risques de sécurité afin d'identifier et de hiérarchiser les risques auxquels sont exposés le Conseil supérieur de la Justice et l'Administration de la justice. Cette évaluation doit servir à définir et à mettre en œuvre les mesures de sécurité nécessaires pour atténuer les risques identifiés.

j) Gérer la sécurité des systèmes. Déterminer la catégorie de chaque système, élaborer la déclaration d'applicabilité et décider des mesures de sécurité supplémentaires à appliquer. Également approuver les procédures opérationnelles de sécurité élaborées par le RSI et vérifier l'état de la sécurité du système surveillé par le DPD.

k) Gérer la sécurité de l'information. Promouvoir la formation et la sensibilisation à la sécurité de l'information parmi les travailleurs du Conseil supérieur de la Justice et de l'Administration de la justice. Également valider les plans de continuité élaborés par le RSI et recevoir les rapports sur le degré de mise en place et d'efficacité des mesures de sécurité physiques.

l) Gérer la sécurité des utilisateurs. Protéger les systèmes d'information contre les utilisateurs non autorisés.

m) Déterminer les conditions requises de sécurité de l'information, ainsi que garantir qu'elles sont respectées. Également déterminer les niveaux de sécurité de l'information et participer à l'acceptation finale du risque résiduel.

3. Le délégué à la sécurité de l'information peut, en fonction de la complexité de l'organisation, proposer des délégués de ses fonctions pour des domaines distincts. Ces délégués sont désignés par le CSI et relèvent fonctionnellement directement du DSI ; ils doivent agir sous la responsabilité du DSI.

Article 44. Délégué à la protection des données (DPD)

1. Les fonctions du délégué à la protection des données sont celles établies par la Loi relative à la protection des données personnelles et la réglementation qui la développe, et elles englobent le conseil et la supervision.

2. Portée des fonctions de conseil :

a) Conseiller et assister le Conseil supérieur de la Justice sur ses obligations en matière de protection des données.

b) Conseiller le responsable du traitement ou le sous-traitant et les employés chargés du traitement sur les obligations découlant de la réglementation applicable en protection des données.

c) Informer le responsable du traitement ou le sous-traitant des éventuelles violations de sécurité qui ont été détectées.

d) Tenir à jour et actualiser le fichiers auprès de l'Agence andorrane de protection des données et assurer le suivi de la législation en matière de confidentialité qui affecte le Conseil supérieur de la Justice.

e) Assister le Conseil supérieur de la Justice en cas de demandes d'accès, de rectification, d'effacement, d'opposition et de limitation du traitement, ainsi qu'en cas d'atteinte à la sécurité des systèmes de traitement des données.

3. Portée des fonctions de supervision :

a) Superviser le respect de la réglementation applicable en protection des données et des politiques du responsable du traitement ou du sous-traitant en la matière.

b) Examiner les opérations de traitement de données personnelles.

c) Évaluer les risques qu'impliquent les opérations de traitement de données personnelles.

d) Gérer les opérations susceptibles d'engendrer un risque élevé.

e) Réaliser des audits de protection des données.

f) Identifier les risques éventuels de sécurité du système, les évaluer et prendre des mesures pour les atténuer.

g) Coopérer avec les autorités de contrôle.

Disposition additionnelle Les.

entités qui, dans le cadre d'une relation de travail ou commerciale, traitent des informations dont le Conseil supérieur de la Justice est titulaire ou qui relèvent de sa responsabilité doivent être tenues d'adhérer à ce système de gestion de la sécurité de l'information et de s'engager à le respecter.

Disposition finale Le.

CSI doit développer le présent document et proposer à l'approbation du CSJ les normes nécessaires pour assurer l'objectif de la sécurité de l'information. De manière non limitative, les normes suivantes doivent être élaborées :

• Réglementation de gestion des risques.
• Réglementation d'utilisation acceptable.
• Réglementation des copies de sauvegarde.
• Réglementation de gestion des actifs.
• Réglementation de gestion du changement.