Suite au scandale r\u00e9v\u00e9l\u00e9 par la RTS concernant la fuite de milliers d'identifiants de connexion en lien avec l'administration f\u00e9d\u00e9rale et les cantons suisses, je d\u00e9pose la motion suivante\u00a0:
Afin de prot\u00e9ger la confidentialit\u00e9 des donn\u00e9es ainsi que les infrastructures de la Conf\u00e9d\u00e9ration et des cantons, le Conseil f\u00e9d\u00e9ral met les moyens n\u00e9cessaires \u00e0 disposition du service Melani afin que leurs services puissent effectuer les missions suivantes\u00a0:
1. Surveiller la disponibilit\u00e9 de nouvelles fuites de donn\u00e9es d'informations d'identification dites \"0day\" y compris sur le Darknet.
2. Se procurer les fuites de donn\u00e9es/collection de donn\u00e9es d'informations d'identification de mani\u00e8re r\u00e9currente et syst\u00e9matique.
3. Proc\u00e9der \u00e0 l'analyse compl\u00e8te de ces bases de donn\u00e9es pour garantir la s\u00e9curit\u00e9 de l'\u00c9tat.
4. Transmettre \u00e0 chaque canton les r\u00e9sultats des analyses pour qu'un traitement appropri\u00e9 leur soit r\u00e9serv\u00e9.
5. Prendre connaissance des vuln\u00e9rabilit\u00e9s \"0day\" aupr\u00e8s du SRC et des services de police afin de pouvoir notamment informer activement les personnes en charge de prot\u00e9ger les infrastructures de communication et de stockage de donn\u00e9es.
Le Conseil f\u00e9d\u00e9ral propose une modification des lois concern\u00e9es (LRens, LSCPT etc.) pour rendre ces missions compatibles avec la loi.
","ReasonText":"La veille technologique de ces bases de donn\u00e9es et des vuln\u00e9rabilit\u00e9s \"0day\" permettra d'anticiper l'exploitation de donn\u00e9es vol\u00e9es et l'exploitation des failles de s\u00e9curit\u00e9. L'objectif est donc de limiter les possibilit\u00e9s d'utilisation qu'elles repr\u00e9sentent, et ainsi am\u00e9liorer la s\u00e9curit\u00e9 nationale. L'analyse unique de ces donn\u00e9es en un point central permettra de couvrir tous les \u00e9chelons de l'\u00c9tat de fa\u00e7on optimale et peu co\u00fbteuse.
Pour rappel, une vuln\u00e9rabilit\u00e9 zero-day (0-day) est une vuln\u00e9rabilit\u00e9 informatique n'ayant fait l'objet d'aucune publication ou n'ayant aucun correctif connu. Il s'agit donc d'une des vuln\u00e9rabilit\u00e9s les plus risqu\u00e9es.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Les autorit\u00e9s f\u00e9d\u00e9rales (en particulier Melani) sont au fait depuis mi-janvier 2019 de la fuite de donn\u00e9es r\u00e9v\u00e9l\u00e9e par les m\u00e9dias. Il ne s'agit pas ici d'une nouvelle fuite de donn\u00e9es mais d'une compilation de diverses donn\u00e9es, parfois tr\u00e8s anciennes, qui ont \u00e9t\u00e9 d\u00e9rob\u00e9es lors de cyberattaques ant\u00e9rieures. Le Conseil f\u00e9d\u00e9ral prend position ainsi sur les points soulev\u00e9s par l'auteur de la motion\u00a0:
1. Melani et d'autres organisations de la Conf\u00e9d\u00e9ration actives dans le domaine de la cybers\u00e9curit\u00e9 (par ex. le Service de renseignement de la Conf\u00e9d\u00e9ration, l'Office f\u00e9d\u00e9ral de la police, etc.) disposent d\u00e9j\u00e0 d'un r\u00e9seau international op\u00e9rationnel. Ces organisations partagent leurs connaissances en permanence, y compris les informations concernant les fuites de donn\u00e9es et les failles dites \"zero day\". Le Conseil f\u00e9d\u00e9ral a fourni des informations concernant les investigations polici\u00e8res sur le Darknet dans sa r\u00e9ponse \u00e0 l'interpellation Imark 16.3829.
2. Les services f\u00e9d\u00e9raux actifs dans le domaine de la cybers\u00e9curit\u00e9 se procurent \u00e9galement des informations sur les donn\u00e9es vol\u00e9es aupr\u00e8s des sources mentionn\u00e9es au point 1 et les \u00e9valuent dans le cadre des moyens financiers, de l'infrastructure et des ressources en personnel dont ils disposent. Avec la cr\u00e9ation du Centre de comp\u00e9tences pour la cybers\u00e9curit\u00e9 et la mise en oeuvre de la Strat\u00e9gie nationale de protection de la Suisse contre les cyberrisques (SNPC), le Conseil f\u00e9d\u00e9ral pr\u00e9voit le renforcement des capacit\u00e9s de r\u00e9colte et d'analyse de telles informations.
3. L'exemple de la fuite de donn\u00e9es \"Collection #1-5\" montre que de telles analyses sont d\u00e9j\u00e0 effectu\u00e9es aujourd'hui. Peu apr\u00e8s la prise de connaissance de la fuite de donn\u00e9es, les autorit\u00e9s f\u00e9d\u00e9rales comp\u00e9tentes (en particulier le Computer Security Incident Response Team de l'Office f\u00e9d\u00e9ral de l'informatique et de la t\u00e9l\u00e9communication [CSIRT de l'OFIT], le Military Computer Emergency Readiness Team [MilCERT] et Melani) l'ont analys\u00e9e afin d'identifier les adresses \u00e9lectroniques des collaborateurs de la Conf\u00e9d\u00e9ration concern\u00e9s. Les offices et d\u00e9partements concern\u00e9s ont \u00e9t\u00e9 inform\u00e9s sans d\u00e9lai par les services susmentionn\u00e9s et ont re\u00e7u des recommandations pour g\u00e9rer ce probl\u00e8me.
4. Chacun des cantons suisses fait partie du \"cercle ferm\u00e9 des clients de Melani\", peut \u00e9changer des informations concernant les cybermenaces les plus vari\u00e9es sur un portail s\u00e9curis\u00e9 et acc\u00e9der \u00e0 \"Collection #1-5\".
5. Les exploitants d'infrastructures critiques re\u00e7oivent aujourd'hui d\u00e9j\u00e0 de Melani des informations relatives \u00e0 la s\u00e9curit\u00e9 (\u00e9galement concernant les failles \"zero day\"). La loi f\u00e9d\u00e9rale sur le renseignement (art. 6 al. 5 en relation avec l'art. 6 al. 1 let. a ch. 4, LRens) constitue la base l\u00e9gale de ces communications. Dans le cadre de la mise en oeuvre de la SNPC, on examine la question de savoir s'il faut cr\u00e9er des bases l\u00e9gales suppl\u00e9mentaires pour que la Conf\u00e9d\u00e9ration puisse informer activement d'autres cercles int\u00e9ress\u00e9s (infrastructures critiques, PME, population, etc.).
Le Conseil f\u00e9d\u00e9ral propose de rejeter la motion.","FederalCouncilProposal":21,"FederalCouncilProposalText":"Le Conseil f\u00e9d\u00e9ral propose de rejeter la motion.","FederalCouncilProposalDate":"\/Date(1557878400000)\/","SubmittedBy":"Buffat Micha\u00ebl","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1561075200000)\/","ResponsibleDepartment":7,"ResponsibleDepartmentName":"D\u00e9partement des finances","ResponsibleDepartmentAbbreviation":"DFF","IsLeadingDepartment":true,"Tags":"4|9|34|1236","Category":null,"Modified":"\/Date(1690512631227)\/","SubmissionDate":"\/Date(1552521600000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5016,"SubmissionLegislativePeriod":50,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique d'Etat|Politique de s\u00e9curit\u00e9|M\u00e9dias et communication|Droits de l'homme"}}