Article 3. Principes fondamentaux de la sécurité de l'information

Article 3. Principes fondamentaux de la sécurité de l'information

1. La sécurité s'entend comme un processus intégral constitué de l'ensemble des éléments techniques, humains, matériels et organisationnels liés aux technologies de l'information et de la communication (TIC).

2. La sécurité de l'information doit être intégrée dans tous les processus de la organisation et, par conséquent, doit s'appliquer tant lors de la conception initiale des TIC que dans leur fonctionnement, dans le but de garantir la protection, l'intégrité et la disponibilité des données.

3. La politique de sécurité de l'information, conformément à l'ENS-AD, repose sur les six principes fondamentaux suivants :

a) Sécurité en tant que processus intégral, qui prenne en compte non seulement les actifs ou éléments technologiques, mais aussi le personnel, la sécurité physique et les aspects organisationnels ; ceux-ci sont appliqués de manière systématique au moyen d'un système de gestion de la sécurité ou SGSI.

Les mesures de protection et les contrôles sont nécessaires pour garantir la sécurité et la confidentialité des informations traitées par le Gouvernement d'Andorre, tant au regard des paramètres de confidentialité, d'intégrité et de disponibilité qu'au regard de ceux de traçabilité et d'authenticité, ainsi que pour assurer l'accès aux données et leur conservation.

Le corpus normatif de sécurité est structuré de façon hiérarchique, de sorte que les normes et procédures de niveau inférieur se conforment et sont subordonnées à celles de niveau supérieur.

À cet égard, la politique de sécurité se situe au premier niveau ou niveau le plus élevé.

Les standards se situent au deuxième niveau et doivent être alignés sur la politique de sécurité de l'information.

Les mesures de sécurité et de confidentialité indiquées dans les standards sont d'application obligatoire pour les procédures de sécurité, qui sont les documents du niveau le plus bas de la pyramide hiérarchique et doivent être alignées tant sur la politique que sur les standards de sécurité.

La PSIGdA s'applique à tous les processus relevant du champ d'application du SGSI, ainsi qu'au personnel du Gouvernement qui y intervient, qu'il soit interne ou externe à l'organisation.

En conséquence, tant le personnel du Gouvernement que les fournisseurs et les tiers doivent connaître et respecter le cadre normatif en matière de sécurité de l'information.

b) Principe de proportionnalité : les mesures de sécurité sont appliquées de façon proportionnée, selon le niveau de risque défini pour chaque service ou élément.

c) Modélisation des actifs d'information de base, au moyen d'actifs d'information standard pour lesquels il convient de prévoir des mesures ou procédures de prévention, pour éliminer ou réduire la possibilité que les menaces se concrétisent ; de détection, pour identifier la présence d'un cyberincident ; de réponse, pour restaurer les informations et les services affectés, et de conservation et d'intégrité des données et informations sur support électronique.

d) Structuration des mesures de sécurité en couches : une première couche ou couche de base, une deuxième de niveau de sécurité moyen et une de catégorie élevée, de façon à réduire la probabilité qu'une brèche dans une couche compromette les actifs d'information qui supportent les services auxquels s'applique l'ENS-AD (principe de stratification des mesures).

e) Surveillance et amélioration continue, afin de pouvoir répondre aux attaques ou menaces de sécurité, et d'avoir la capacité de moduler les mesures et les réponses en fonction des situations et des risques associés.

f) Différenciation des responsabilités : le responsable de la prestation du service doit être une personne différente du responsable de la sécurité des actifs qui supportent le service.