Wortlaut

Entre fin mai et début juin, la presse (notamment la "Basler Zeitung" et la "Weltwoche") a relaté qu'entre la fin de 2014 et février 2017, les usagers non autorisés pouvaient accéder sans la moindre difficulté au réseau informatique de la Confédération. En raison d'une erreur, ces usagers avaient accès, sans s'enregistrer et sans la moindre légitimation, à l'intranet et à des banques de données contenant des informations réservées de l'administration fédérale. Le tableau brossé par la presse est inquiétant. Il montre un État incapable de se rendre compte d'une situation critique, de se défendre, de réagir et enfin de communiquer. La Suisse semble être dans l'ensemble insuffisamment attentive au danger représenté par les infiltrations informatiques.

Vu ce qui précède, une clarification s'impose :

1. Le Conseil fédéral confirme-t-il les révélations de la presse en ce qui concerne la possibilité d'une infiltration systématique de la part d'usagers non autorisés, dans des domaines réservés et des banques de données fermées du réseau informatique de la Confédération entre 2014 et 2017 ? Que s'est-il réellement passé ?

2. Quand a-t-on pris conscience de cette situation et quand le Conseil fédéral en a-t-il pris acte ?

3. Quels départements ont-ils été impliqués ?

4. Pourquoi le Conseil fédéral n'a-t-il pas communiqué activement sur ce qui s'était passé ?

5. À quelles données les usagers non autorisés ont-ils eu potentiellement accès ? Y a-t-il eu des infiltrations ? Des données ont-elles été volées ou modifiées ? S'il est impossible de le déterminer, quelle en est la raison ?

6. Quelles mesures a-t-on prises lorsqu'on s'est aperçu de la situation ?

7. A-t-on diligenté une enquête administrative ou une procédure pénale ?

8. Comment a-t-on procédé à l'interne à l'information et à la sensibilisation des employés des unités concernées ?

9. A-t-on informé d'autres services de la Confédération, notamment dans le domaine informatique ?

Stellungnahme des Bundesrates

1. Entre 2014 et 2017, il existait une faille de sécurité dont l'exploitation aurait permis à des usagers non autorisés d'accéder à un nombre limité d'applications de la Confédération.

2. Le 27 janvier 2017, des spécialistes de la Confédération ont constaté une défaillance du service d'accès à certaines applications. Les collaborateurs compétents ont immédiatement pallié l'erreur et l'ont supprimée définitivement le 9 février 2017. Après une première analyse, le chef du département concerné a pris connaissance, le 15 février 2017, de la faille de sécurité et des mesures engagées. Le Conseil fédéral en a pris acte dans le cadre du rapport annuel sur la sécurité.

3. La défaillance concernait un nombre limité d'applications, qui nécessitent une procédure d'accès particulière. Celles-ci sont connues et les responsables au courant. Pour des raisons de sécurité, la liste des applications et des départements concernés n'est pas rendue publique.

4. Les informations sur la défaillance de sécurité ont été communiquées en interne par les organes prévus à cet effet. Comportant des indications détaillées sur le fonctionnement du service d'accès touché, elles ont été classées "confidentiel" pour des raisons de sécurité. Les responsables de l'informatique et de la sécurité des départements et de la Chancellerie fédérale ont été informés au plus vite par le Conseil de l'informatique de la Confédération et par le Comité pour la sécurité informatique.

5. Il ne ressort de l'analyse aucun indice qui prouve que la faille de sécurité a été exploitée pour des infiltrations de la part d'usagers non autorisés. Cependant, il est impossible de le vérifier complètement et donc de l'exclure, car les enregistrements du service d'accès sont insuffisants. Lors de la suppression de la défaillance, on a aussi veillé à ce que d'éventuels problèmes puissent être détectés avec certitude à l'avenir.

6. Après avoir décelé la faille de sécurité, les spécialistes de la Confédération l'ont immédiatement comblée. La défaillance a été analysée et les enseignements tirés ont permis de prendre une série de mesures à court et long termes. Les responsables hiérarchiques et les responsables d'applications concernés ont été informés.

7. Non. Il n'existe aucun indice d'une infraction d'ordre pénal ou disciplinaire qui ait conduit à la faille de sécurité. C'est pourquoi l'Office fédéral de l'informatique et de la télécommunication a estimé qu'une enquête administrative n'était pas nécessaire.

8. Les organes compétents ont été informés sans délai. Les services techniques ont l'habitude de modifier rapidement les logiciels et les systèmes en fonction des correctifs de sécurité des fournisseurs. Des mesures internes ont en outre été prises afin d'améliorer le contrôle de la qualité des modifications effectuées sur le système d'accès.

9. L'erreur a été examinée en étroite collaboration avec les fournisseurs de prestations impliqués.

Réponse du Conseil fédéral.