Le 30 ao\u00fbt 2013, la D\u00e9l\u00e9gation des Commissions de gestion (D\u00e9lCdG) a publi\u00e9 son rapport relatif \u00e0 la s\u00e9curit\u00e9 informatique au sein du Service de renseignement de la Conf\u00e9d\u00e9ration (SRC). Se fondant sur une inspection formelle, ce rapport contenait onze recommandations adress\u00e9es au Conseil f\u00e9d\u00e9ral.
Le rapport r\u00e9v\u00e8le de graves failles dans la s\u00e9curit\u00e9 informatique au sein du SRC. Or, comme le SRC g\u00e8re des donn\u00e9es extr\u00eamement sensibles ayant trait au terrorisme, \u00e0 l'extr\u00e9misme, au trafic d'armes et de mat\u00e9riel radioactif et \u00e0 la s\u00e9curit\u00e9 int\u00e9rieure, les failles de s\u00e9curit\u00e9 repr\u00e9sentent un danger pour la protection des citoyens et de leurs droits fondamentaux. Manifestement, le d\u00e9partement de tutelle du SRC (DDPS) n'est pas du m\u00eame avis, puisqu'il a publi\u00e9 le 11 avril 2013, soit avant la fin de l'inspection de la D\u00e9lCdG, un rapport qui pr\u00e9sente le travail du SRC sous le meilleur jour et qui passe sous silence les probl\u00e8mes qui ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s depuis.
Je prie le Conseil f\u00e9d\u00e9ral de r\u00e9pondre aux questions suivantes\u00a0:
1. Le rapport du DDPS du 11 avril 2013 a-t-il \u00e9t\u00e9 soumis au Conseil f\u00e9d\u00e9ral et a-t-il fait l'objet d'une discussion\u00a0?
2. Comment le Conseil f\u00e9d\u00e9ral explique-t-il les grandes diff\u00e9rences d'analyse que contiennent le rapport du DDPS et celui de la D\u00e9lCdG et les conclusions oppos\u00e9es auxquelles ils parviennent\u00a0?
3. Partage-t-il la conviction du DDPS exprim\u00e9e dans son rapport du 11 avril 2013 selon laquelle \"les donn\u00e9es du SRC n'ont jamais \u00e9t\u00e9 en mains non autoris\u00e9es\" du fait du vol de donn\u00e9es (\"plusieurs milliers de donn\u00e9es\") et d'autres failles de s\u00e9curit\u00e9 r\u00e9v\u00e9l\u00e9es depuis lors\u00a0?
4. Selon le rapport de la D\u00e9lCdG, \"le directeur du SRC ne s'est pas acquitt\u00e9 de ses devoirs de surveillance de mani\u00e8re suffisamment syst\u00e9matique apr\u00e8s le vol de donn\u00e9es et il n'a pas confi\u00e9 les enqu\u00eates internes aux organes appropri\u00e9s\". L'absence d'une gestion des risques rigoureuse et de mesures minimales d'ordre organisationnel et technique visant \u00e0 assurer la s\u00e9curit\u00e9 informatique est \u00e9galement d\u00e9nonc\u00e9e. Le Conseil f\u00e9d\u00e9ral convient-il que la gestion des risques, les processus visant \u00e0 assurer la s\u00e9curit\u00e9 et la gestion des ressources font partie des t\u00e2ches essentielles d'un dirigeant, notamment au SRC\u00a0? Tol\u00e8re-t-il que des dirigeants qu'il a nomm\u00e9s montrent des failles dans l'ex\u00e9cution de t\u00e2ches qui sont au coeur de leurs responsabilit\u00e9s\u00a0?
5. Le DDPS porte une grande part de responsabilit\u00e9 dans les probl\u00e8mes auxquels le SRC est confront\u00e9. Quand le Conseil f\u00e9d\u00e9ral a-t-il \u00e9t\u00e9 averti pour la premi\u00e8re fois des cons\u00e9quences d'un manque de personnel\u00a0? Juge-t-il que les mesures d'analyse et de gestion des crises et les mesures visant \u00e0 am\u00e9liorer la culture de gestion des risques et celle de la s\u00e9curit\u00e9 que le chef du DDPS a lanc\u00e9es sont suffisantes et ad\u00e9quates\u00a0?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"1. Le rapport \u00e9tabli par le DDPS sur une fuite de donn\u00e9es d\u00e9jou\u00e9e au sein du Service de renseignement de la Conf\u00e9d\u00e9ration a \u00e9t\u00e9 soumis au Conseil f\u00e9d\u00e9ral en date du 22 avril 2013. Celui-ci en a pris connaissance lors de sa s\u00e9ance du 24 avril 2013.
2. Le Conseil f\u00e9d\u00e9ral est bien conscient que l'analyse effectu\u00e9e par le DDPS et celle de la D\u00e9lCdG, ainsi que leurs conclusions, divergent partiellement. Il consid\u00e8re n\u00e9anmoins que les deux rapports contribuent \u00e0 faire la lumi\u00e8re sur ce qui s'est pass\u00e9. Le Conseil f\u00e9d\u00e9ral a pris position le 30 octobre 2013 sur le rapport de la D\u00e9lCdG et a examin\u00e9 l'affaire et la gestion de cette derni\u00e8re tant par le SRC que par le DDPS. Sa conclusion est que le fait de mettre le doigt sur des lacunes manifestes d'un secteur du SRC sans relever l'apport que constitue l'ensemble des prestations va \u00e0 l'encontre de l'image que s'en font et son mandant et les b\u00e9n\u00e9ficiaires de ces prestations.
3. Au cours de son enqu\u00eate, le Minist\u00e8re public de la Conf\u00e9d\u00e9ration a pu saisir tous les supports de donn\u00e9es concern\u00e9s. Les autorit\u00e9s de poursuite p\u00e9nale les ont examin\u00e9s et n'ont pas trouv\u00e9 d'indice de copie ou de transmission.
4. Le Conseil f\u00e9d\u00e9ral a retenu dans son avis que le SRC a \u00e9t\u00e9 en mesure d'atteindre, apr\u00e8s la fusion, plusieurs objectifs importants sans perte de savoir-faire ni probl\u00e8me grave de ressources humaines\u00a0: il a pu assurer la l\u00e9galit\u00e9 de ses activit\u00e9s, \u00e9tablir une culture d'entreprise commune, et continuer \u00e0 fournir des prestations de haut niveau. Le Conseil f\u00e9d\u00e9ral constate \u00e9galement, depuis la fusion, une plus grande confiance des partenaires \u00e9trangers. Enfin, il salue la r\u00e9action du SRC et du DDPS pour pallier les faiblesses et lacunes constat\u00e9es.
5. Le Conseil f\u00e9d\u00e9ral a \u00e9t\u00e9 inform\u00e9 pour la premi\u00e8re fois le 26 avril 2013, par rapport du DDPS et en lien avec le th\u00e8me du vol de donn\u00e9es, que le SRC manquait de personnel pour assurer une pleine s\u00e9curit\u00e9 informatique. Imm\u00e9diatement apr\u00e8s l'incident de mai 2012, plusieurs services du DDPS et ext\u00e9rieurs \u00e0 celui-ci ont \u00e9t\u00e9 mandat\u00e9s pour analyser la situation et d\u00e9terminer la correction \u00e0 apporter. Le Conseil f\u00e9d\u00e9ral est d'avis que cette mesure - combin\u00e9e \u00e0 celles qu'il a prises ou prendra sur la base des recommandations de la D\u00e9lCdG - est pertinente et suffisante.
R\u00e9ponse du Conseil f\u00e9d\u00e9ral.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1384905600000)\/","SubmittedBy":"Rytz Regula","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1386892800000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"D\u00e9partement de la d\u00e9fense, de la protection de la population et des sports","ResponsibleDepartmentAbbreviation":"DDPS","IsLeadingDepartment":true,"Tags":"9","Category":null,"Modified":"\/Date(1690529385290)\/","SubmissionDate":"\/Date(1380153600000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":4910,"SubmissionLegislativePeriod":49,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique de s\u00e9curit\u00e9"}}