Décret 550/2023, du 6-12-2023, portant approbation de la politique de sécurité de l'information du Gouvernement d'Andorre et création du Comité technique de sécurité de l'information

Article 1. Champ d'application

La politique de sécurité de l'information (ci-après, « PSIGdA ») s'applique à tous les départements du Gouvernement d'Andorre et à l'ensemble du personnel qui intervient dans le traitement de l'information, quels que soient son statut ou sa relation de travail. Le Secrétariat d'État à la Transformation numérique et aux Télécommunications est chargé de gérer, d'élaborer et de veiller au maintien du corpus normatif de sécurité du Gouvernement d'Andorre, conformément aux dispositions du Schéma national de sécurité et du Règlement relatif aux infrastructures critiques en vigueur.

Article 2. Description de la politique de sécurité de l'information

1. La politique de sécurité de l'information du Gouvernement d'Andorre est une norme, d'application obligatoire au sein de l'organisation, qui établit les lignes directrices et les principes fondamentaux pour la protection des systèmes d'information dans le but de garantir la confidentialité, l'intégrité et la disponibilité des données.

2. De la PSIGdA dépendent les autres normes de sécurité qui émanent du système de gestion de la sécurité de l'information.

Article 3. Principes fondamentaux de la sécurité de l'information

1. La sécurité s'entend comme un processus intégral constitué de l'ensemble des éléments techniques, humains, matériels et organisationnels liés aux technologies de l'information et de la communication (TIC).

2. La sécurité de l'information doit être intégrée dans tous les processus de la organisation et, par conséquent, doit s'appliquer tant lors de la conception initiale des TIC que dans leur fonctionnement, dans le but de garantir la protection, l'intégrité et la disponibilité des données.

3. La politique de sécurité de l'information, conformément à l'ENS-AD, repose sur les six principes fondamentaux suivants :

a) Sécurité en tant que processus intégral, qui prenne en compte non seulement les actifs ou éléments technologiques, mais aussi le personnel, la sécurité physique et les aspects organisationnels ; ceux-ci sont appliqués de manière systématique au moyen d'un système de gestion de la sécurité ou SGSI.

Les mesures de protection et les contrôles sont nécessaires pour garantir la sécurité et la confidentialité des informations traitées par le Gouvernement d'Andorre, tant au regard des paramètres de confidentialité, d'intégrité et de disponibilité qu'au regard de ceux de traçabilité et d'authenticité, ainsi que pour assurer l'accès aux données et leur conservation.

Le corpus normatif de sécurité est structuré de façon hiérarchique, de sorte que les normes et procédures de niveau inférieur se conforment et sont subordonnées à celles de niveau supérieur.

À cet égard, la politique de sécurité se situe au premier niveau ou niveau le plus élevé.

Les standards se situent au deuxième niveau et doivent être alignés sur la politique de sécurité de l'information.

Les mesures de sécurité et de confidentialité indiquées dans les standards sont d'application obligatoire pour les procédures de sécurité, qui sont les documents du niveau le plus bas de la pyramide hiérarchique et doivent être alignées tant sur la politique que sur les standards de sécurité.

La PSIGdA s'applique à tous les processus relevant du champ d'application du SGSI, ainsi qu'au personnel du Gouvernement qui y intervient, qu'il soit interne ou externe à l'organisation.

En conséquence, tant le personnel du Gouvernement que les fournisseurs et les tiers doivent connaître et respecter le cadre normatif en matière de sécurité de l'information.

b) Principe de proportionnalité : les mesures de sécurité sont appliquées de façon proportionnée, selon le niveau de risque défini pour chaque service ou élément.

c) Modélisation des actifs d'information de base, au moyen d'actifs d'information standard pour lesquels il convient de prévoir des mesures ou procédures de prévention, pour éliminer ou réduire la possibilité que les menaces se concrétisent ; de détection, pour identifier la présence d'un cyberincident ; de réponse, pour restaurer les informations et les services affectés, et de conservation et d'intégrité des données et informations sur support électronique.

d) Structuration des mesures de sécurité en couches : une première couche ou couche de base, une deuxième de niveau de sécurité moyen et une de catégorie élevée, de façon à réduire la probabilité qu'une brèche dans une couche compromette les actifs d'information qui supportent les services auxquels s'applique l'ENS-AD (principe de stratification des mesures).

e) Surveillance et amélioration continue, afin de pouvoir répondre aux attaques ou menaces de sécurité, et d'avoir la capacité de moduler les mesures et les réponses en fonction des situations et des risques associés.

f) Différenciation des responsabilités : le responsable de la prestation du service doit être une personne différente du responsable de la sécurité des actifs qui supportent le service.

Article 4. Gestion des risques

1. La gestion des risques est le processus intégral qui implique l'identification, l'évaluation et l'atténuation des menaces cybernétiques.

2. Le délégué à la sécurité de l'information est chargé de veiller à ce que l'analyse des risques soit effectuée, ainsi que d'identifier les lacunes et les faiblesses et de les porter à la connaissance du Comité technique de sécurité de l'information.

3. Le processus de gestion des risques doit respecter les exigences établies dans l'ENS-AD et les indications de l'ANC-AD (Agence nationale de cybersécurité d'Andorre).

4. L'analyse des risques doit recourir à une méthodologie standard et reconnue au niveau international, alignée sur les exigences de l'ENS-AD.

5. L'analyse et la gestion des risques constituent une partie essentielle du processus de sécurité, afin d'assurer le maintien d'un environnement contrôlé, en réduisant les risques à des niveaux considérés comme acceptables par l'organisation.

6. La réduction du niveau de risque s'opère par le déploiement de mesures de sécurité et de confidentialité modulées en fonction de la nature des données et des traitements de l'information, ainsi que de l'impact et de la probabilité des risques auxquels ils sont exposés, en recherchant un compromis entre coût et aficacité.

Article 5. Amélioration continue et évaluation périodique

1. La gestion de la sécurité de l'information est un processus soumis à une mise à jour permanente. Les changements dans l'organisation, les menaces, les technologies ou la législation sont des exemples de cas dans lesquels une adaptation continue des systèmes est nécessaire pour faire face à un environnement en constante évolution.

2. En conséquence, il convient d'appliquer les procédures et les modalités opérationnelles appropriées pour assurer les actions suivantes :

a) Révision de la politique de sécurité de l'information.

b) Révision des services et des informations et de leur catégorisation.

c) Exécution annuelle de l'analyse des risques.

d) Réalisation d'audits internes et externes.

e) Révision des mesures de sécurité.

f) Révision et mise à jour des normes et des procédures.

Article 6. Obligations du personnel

1. L'ensemble du personnel du Gouvernement a l'obligation de connaître et de respecter la présente politique de sécurité de l'information, et il incombe au Comité technique de sécurité de l'information de mettre en place les moyens nécessaires pour qu'elle soit diffusée à toutes les personnes auxquelles elle s'applique.

2. Le personnel ayant une responsabilité dans l'exploitation ou l'administration de systèmes TIC doit recevoir une formation pour apprendre à les gérer de manière sûre. De même, la sensibilisation en matière de sécurité doit être promue auprès de l'ensemble du personnel du Gouvernement d'Andorre au moyen de programmes de formation, dont le contenu peut être adapté aux besoins de chaque destinataire.

3. Le non-respect de la cette politique de sécurité de l'information peut entraîner l'adoption des mesures disciplinaires qui s'imposent, sans préjudice des responsabilités légales correspondantes.

Article 7. Organisation de la sécurité de l'information

1. Le Gouvernement d'Andorre dispose d'une structure organisationnelle pour la gestion de la sécurité des systèmes d'information, composée des profils suivants :

a) Responsables techniques des systèmes d'information

b) Responsables des services TIC

c) Responsables du traitement des données

d) Délégué à la protection des données

e) Responsables du développement

f) Délégué à la sécurité de l'information

g) Responsables du contrôle d'accès, de l'énergie et de la réfrigération des centre de données

2. Cette structure doit être complétée par le Comité technique de sécurité de l'information, conformément au cadre de référence international ISO/IEC27001, en tant qu'organe de supervision et de gouvernance chargé d'assurer la mise en œuvre correcte et effective de la PSIGdA et de l'ensemble des normes de sécurité de l'information associées.

Article 8. Composition du Comité technique de sécurité de l'information

1. Le Comité technique de sécurité de l'information est composé de :

a) Président : le secrétaire d'État à la Transformation numérique et aux Télécommunications

b) Vice-président : le directeur du Département de la transformation numérique

c) Secrétaire : un technicien nommé par le Département de la transformation numérique

d) 4 membres : le directeur de l'Enseignement supérieur, de la Recherche et de l'Innovation technologique, le délégué à la sécurité de l'information du corps de Police, le délégué à la sécurité de l'information du Gouvernement et le responsable de la sécurité du Département de la transformation numérique.

2. Le Comité technique de sécurité de l'information peut solliciter l'avis de techniciens et d'experts ou de tout autre acteur, dans tous les cas internes à l'organisation, que la présidence ou les directions jugent opportun. Ces techniciens ou experts participent uniquement à titre consultatif.

Article 9. Création, fonctions et responsabilités du Comité technique de sécurité de l'information

1. Il est créé le Comité technique de sécurité de l'information (CTSI).

2. Les fonctions et responsabilités du Comité technique de sécurité de l'information sont les suivantes :

a) Émettre des rapports à l'intention du Gouvernement sur des questions de sécurité de l'information.

b) Proposer des lignes directrices et des recommandations, qui sont consignées dans les procès-verbaux correspondants des réunions du Comité, auxquelles son président doit apporter une réponse.

c) Être informé des réglementations en vigueur en matière de sécurité de l'information.

d) Promouvoir et impulser le développement de projets de sécurité.

e) Coordonner les efforts des différents acteurs impliqués dans la sécurité de l'information afin d'en assurer l'efficacité et l'alignement sur les objectifs du Gouvernement d'Andorre et du Comité lui-même.

f) Promouvoir la sensibilisation à la sécurité de l'information et sa diffusion.

g) Conseiller en matière de sécurité de l'information quiconque le lui demande.

h) Réviser la politique de sécurité de l'information préalablement à sa soumission pour approbation.

i) Valider et approuver les normes du SGSI qui lui sont soumises.

j) Assurer le suivi des principaux risques et incidents de sécurité, ainsi que recommander d'éventuelles actions d'amélioration.

k) Faciliter la communication en matière de sécurité de l'information à l'ensemble de la organisation.

l) Autres fonctions considérées comme inhérentes à la nature du Comité.

m) Autres fonctions qui lui sont attribuées par la législation en vigueur.

Article 10. Fonctionnement et organisation du Comité technique de sécurité de l'information

1. Le Comité technique de sécurité de l'information se réunit au moins une fois par an et chaque fois que le président le convoque.

2. Le CTSI peut tenir ses réunions en présentiel ou par voie télématique.

3. Les fonctions de président sont les suivantes :

a) Représenter le Comité technique de sécurité de l'information.

b) Convoquer les séances, en fixer l'ordre du jour et les présider.

c) Départager les voix en cas d'égalité par son vote.

d) Signer les procès-verbaux, les certifications d'accords, les rapports, les autorisations de contrôle fiscal et les avis.

4. Les fonctions du vice-président sont les suivantes :

a) Remplacer le président en cas d'absence, de maladie ou pour toute autre cause l'empêchant d'exercer ses fonctions.

b) Se charger de l'expédition des affaires courantes et des affaires que le président lui délègue.

5. Les fonctions du secrétaire sont les suivantes :

a) Assister administrativement le président.

b) Dresser les procès-verbaux des séances du CTSI, les signer et les soumettre au visa du président.

c) Présenter chaque année un rapport sur le fonctionnement du CTSI.

d) Toute autre fonction que lui confie le président.

Article 11. Séances

1. Les séances du CTSI sont convoquées par le président avec un préavis minimum de cinq jours, avec indication du jour, du lieu et de l'heure de la réunion, ainsi que de l'ordre du jour. La convocation peut prévoir une deuxième convocation de la séance.

2. Le président fixe l'ordre du jour des séances. Avant la convocation de la séance correspondante, trois membres du CTSI peuvent demander au président d'inscrire une question déterminée à l'ordre du jour.

3. Il ne peut être délibéré, voté ni adopté d'accords sur des sujets non inscrits à l'ordre du jour de la réunion, sauf si tous les membres du CTSI sont présents et en décident ainsi à l'unanimité.

4. La constitution valable d'une réunion de la CTSI requiert la présence de trois de ses membres, parmi lesquels doit figurer, au minimum, le président ou le vice-président.

5. Le secrétaire dresse le procès-verbal des séances, dans lequel il consigne le jour, l'heure et le lieu de la réunion, l'ordre du jour, les participants, les accords adoptés et les principales questions ayant fait l'objet de délibérations. Le procès-verbal de la séance doit être approuvé par le CTSI lors d'une séance ultérieure et signé par le président.

Article 12. Régime de décision

1. Le CTSI décide à la majorité simple de ses membres.

2. En cas d'égalité des voix, celle du président est prépondérante.

3. Les membres en désaccord avec les accords adoptés peuvent faire consigner leur désaccord au procès-verbal et peuvent joindre des opinions dissidentes aux accords.

Article 13. Procédure d'émission de rapports et d'avis

1. Une fois reçue la demande d'un rapport ou d'un avis, le président la transmet à tous les membres du Comité technique de sécurité de l'information et, dans un délai de trois jours ouvrables et après avoir entendu le vice-président, il nomme une commission de rapporteurs.

2. Les rapporteurs doivent présenter le projet de rapport ou d'avis dans un délai de dix jours ouvrables à compter de leur nomination. Le président, lorsque la nature de l'affaire l'exige, peut proroger ce délai de dix jours ouvrables supplémentaires au maximum. En cas d'urgence, ce délai peut être réduit à cinq jours ouvrables.

3. Le projet de rapport ou d'avis élaboré par les rapporteurs est distribué aux membres du Comité technique de sécurité de l'information dans un délai de trois jours ouvrables à compter de sa remise.

4. Le projet de rapport ou d'avis est soumis à la délibération et à l'approbation du Comité technique de sécurité de l'information dans un délai qui ne peut être inférieur à cinq jours ouvrables ni supérieur à quinze, à compter de sa remise.

5. En tout état de cause, l'émission du rapport ou de l'avis a lieu dans le délai de deux mois à compter de la demande.

6. Les membres du Comité technique de sécurité de l'information qui sont en désaccord peuvent joindre des opinions dissidentes aux rapports et aux avis approuvés. À cet effet, ils disposent de deux jours ouvrables pour remettre au secrétaire leur opinion dissidente, à compter du moment où la rédaction définitive du rapport ou de l'avis est arrêtée. Si le délai maximal de deux mois pour émettre le rapport ou l'avis est dépassé, ce rapport ou cet avis est envoyé au demandeur en indiquant qu'une ou plusieurs opinions dissidentes ont été formulées. Le secrétaire du Comité technique de sécurité de l'information les transmet au demandeur dès leur réception.

Disposition finale Le.

présent Décret entre en vigueur le lendemain de sa publication au Bulletin officiel de la Principauté d'Andorre.