Administration & Services publics

Oui, mais uniquement dans des conditions strictes. Des mesures de sécurité spéciales sont nécessaires pour les informations très sensibles (par exemple, les secrets d’État ou les données personnelles) – telles que le cryptage, les contrôles d’accès et les centres de données suisses. L’autorisation n’est accordée qu’après examen par les autorités compétentes. Les fournisseurs de Cloud public, en particulier, doivent disposer de mécanismes de protection techniques et organisationnels pour respecter la LPD et les obligations de confidentialité. Un Cloud privé ou un modèle hybride est souvent la meilleure solution pour les administrations.

Les administrations devraient choisir des centres de données classés ISO 27001 (sécurité de l’information), ISO 22301 (continuité des activités) et, idéalement, Tier III ou IV. Des certifications telles que ISAE 3402 ou ISO 14001 peuvent également être importantes, selon le secteur d’activité ou les exigences environnementales. Il est également important que les centres de données soient exploités de manière géoredondante, c’est-à-dire qu’ils disposent de plusieurs sites indépendants. Ces normes garantissent le respect des exigences les plus élevées en matière de disponibilité et de sécurité, ce qui est indispensable pour les institutions publiques et les infrastructures critiques.

Un environnement Cloud hybride sécurisé combine des systèmes sur site avec des services Cloud via des lignes dédiées et cryptées. Pour les autorités publiques, il est recommandé d’établir une connexion directe avec les fournisseurs de Cloud public via des services tels qu’ExpressRoute ou Direct Connect. Cela réduit la latence et augmente la sécurité par rapport aux connexions Internet ouvertes. Une segmentation claire du réseau en fonction des besoins de protection et l’intégration de solutions d’identité existantes (par exemple, Active Directory) sont également importantes. L’objectif est de gagner en flexibilité sans perdre le contrôle des données et systèmes critiques.

La directive NIS2 est une directive européenne visant à renforcer la cyber-résilience. Même si elle ne s’applique pas directement en Suisse, une grande partie de son contenu est couverte par la nouvelle loi sur la sécurité de l’information (LSI). Les administrations doivent mettre en place un système de gestion de la sécurité de l’information, évaluer en permanence les risques et signaler les incidents cybernétiques graves dans les 24 heures. En outre, des questions telles que la sécurité de la chaîne d’approvisionnement et la gouvernance informatique gagnent en importance. Même indirectement, par exemple par le biais de la coopération avec des organisations de l’UE, les autorités suisses sont concernées par la NIS2 et devraient s’y conformer.