RÈGLEMENT relatif à l'organe d'audit des systèmes d'information et de télécommunication

(RASSIT) du 26 mai 2010 LE CONSEIL D'ÉTAT DU CANTON DE VAUD vu l'article 61 de la loi du 11 février 1970 sur l'organisation du Conseil d'Etat A vu le préavis de la Chancellerie d'Etat arrête Chapitre I Dispositions générales

Art. 1 Buts

1 Le présent règlement fixe les principes régissant l'auditeur des systèmes d'information et de télécommunication (ci-après : l'ASSIT) afin de garantir le cadre et les moyens des activités d'audit de conformité, en matière de sécurité informatique, auprès de tous les services acteurs ou usagers de l'informatique de l'Administration cantonale (ci-après : l'Administration).

Art. 2 Champs d'application

1 Le présent règlement s'applique à l'ensemble des systèmes d'information et de télécommunication de l'Administration, y compris ceux du domaine pédagogique. Sont également concernés les organes paraétatiques totalement intégrés dans le réseau administratif (tel que défini dans le standard de la Conférence suisse sur l'informatique Network Security Policy, validé par l'Assemblée des délégués le 21 mai 2005) ou qui disposent d'accès privilégiés à celui-ci.

2 L'informatique des Hautes Ecoles et celle des Hospices/CHUV sont exclues.

3 Les relations entre l'Ordre judiciaire vaudois et l'ASSIT sont réglées par une convention spéciale.

Art. 3 Définitions

1 Par audit de conformité, en matière de sécurité informatique, il faut comprendre toutes les opérations nécessaires à la réalisation d'un véritable contrôle : – du respect des principes de la politique générale de sécurité des systèmes d'information de l'Administration (PGSI), – de l'application des directives et procédures découlant de cette dernière, – du respect des normes et bonnes pratiques internationales (série ISO 27000 en particulier).

2 Les principaux critères à retenir sont la confidentialité, l'intégrité et la disponibilité ; entrent aussi en considération ceux de légalité, d'authentification, de non-répudiation et de traçabilité.

3 Les systèmes et processus informatiques à auditer couvrent les domaines suivants de l'informatique : – les contrôles d'accès, – la sécurité des applications, le cycle de vie et les principes de leur développement inclus, – le plan de continuité en cas de rupture de service ou de sinistre, – les moyens de chiffrement, – la gestion des risques, – la sécurité des opérations, – la sécurité physique, – la sécurité de l'architecture et du design, – la sécurité des télécommunications et réseaux.

4 Le contrôle interne est réservé. Chapitre II Autorités compétentes

Art. 4 Le Conseil d'Etat

1 Le Conseil d'Etat : – prend acte du programme annuel des audits, présenté par l'ASSIT et comportant les avis consultatifs recueillis à ce sujet, – ordonne des audits particuliers, en veillant le cas échéant à pourvoir l'ASSIT et les entités impliquées de moyens supplémentaires nécessaires, – décide de la communication des rapports d'audit au-delà du cercle des destinataires mentionnés à l'article 14 du présent règlement,

– pourvoit au contrôle de l'ASSIT par un auditeur externe.

Art. 5 L'ASSIT : Organisation

1 L'ASSIT est rattaché administrativement à la Chancellerie et se compose d'un chef auditeur et d'un adjoint. Le chef auditeur est nommé par le Conseil d'Etat.

Art. 6 Missions générales de l'ASSIT

1 L'ASSIT : – propose au Conseil d'Etat le programme annuel des audits, – met en consultation au préalable le programme annuel des audits auprès des Secrétariats généraux, de la Direction des systèmes d'information (ci-après : DSI) et de la Chancellerie, – réalise directement ou par des tiers les audits de sécurité selon le programme annuel, – produit des rapports d'audits avec des recommandations de correction ou d'amélioration, – assure la cohérence avec la politique d'audit de conformité des autres entités actives dans ce domaine (Contrôle cantonal des finances, Cour des comptes), – remet un rapport annuel à l'intention du Conseil d'Etat avec copie à la DSI.

Art. 7 Missions spécifiques de l'ASSIT

1 L'ASSIT : – réalise sur ordre du Conseil d'Etat ou demande spéciale d'un service des audits de sécurité non prévus dans le programme annuel, – initie lors de circonstances particulières un audit non prévu dans le programme annuel (par le chef auditeur), – produit dans ces cas des rapports d'audits avec des recommandations de correction ou d'amélioration, – collabore avec le préposé à la protection des données dans le cadre d'audits.

Art. 8 Représentation externe de l'ASSIT

1 L'ASSIT : – participe à des collaborations dédiées à l'audit de sécurité (Confédération, Cantons, Villes ainsi qu'avec les partenaires paraétatiques), – représente prioritairement l'Administration à des conférences portant sur l'audit de sécurité informatique.

Art. 9 Les départements et services de l'Etat (services métiers)

1 Les départements et services métiers : – répondent aux demandes d'information de l'ASSIT et fournissent l'assistance nécessaire aux travaux d'investigation, – donnent accès aux documents, procédures et/ou systèmes nécessaires à l'audit ainsi qu'aux collaborateurs en charge des parties auditées, – demandent un audit particulier, – prennent position au sujet des rapports d'audit de l'ASSIT (défauts relevés, corrections ou améliorations souhaitables), – mettent en oeuvre le suivi des recommandations de corrections/améliorations, – informent l'ASSIT du suivi des mesures prises.

Art. 10 LA DSI

1 La DSI : – veille à ce que les traces nécessaires à l'audit soient préservées, – répond aux demandes d'information de l'ASSIT et fournit l'assistance nécessaire aux travaux d'investigation liés aux audits, – donne accès, à fin de contrôle, aux documents, procédures, données et/ou systèmes en production pendant la période nécessaire à l'audit ainsi qu'aux collaborateurs directement responsables des parties auditées et dont l'interview est jugé nécessaire à l'auditeur. L'accès à des documents ou données liés à un secret autre que le secret de fonction doit être obtenu du propriétaire des données ou de l'autorité compétente, – prend position sur les rapports d'audit de l'ASSIT (défauts relevés, corrections ou améliorations souhaitables), – met en oeuvre le suivi des recommandations de corrections/améliorations, en coordination avec les départements et services concernés s'il y a lieu, – informe l'ASSIT du suivi des mesures prises. Chapitre III Exercice de l'activité d'audit

Art. 11 Principes de fonctionnement

1 L'ASSIT est libre du choix des moyens d'audit (interviews, études documentaires, analyses techniques, tests techniques de sécurité, "ethical hacking").

2 Il tient compte de la faisabilité pour le programme annuel des audits, notamment sur la base des remarques de la DSI.

3 Il est responsable de veiller à ce que les opérations menées dans le cadre des audits n'aient pas d'effets nuisibles sur le bon fonctionnement et les performances des systèmes.

4 Il applique les standards et bonnes pratiques internationaux.

5 Il respecte les codes éthiques de l'audit.

Art. 12 Fonctionnement général

1 En préalable à un audit, l'ASSIT remet au chef de la DSI un plan d'audit précisant l'objectif de l'audit, le champ d'audit, la planification, les rôles et responsabilités et les moyens et interlocuteurs nécessaires.

2 Le chef de la DSI peut formuler des remarques.

3 Une séance formelle de démarrage du travail d'audit est prévue pour la présentation du plan d'audit définitif elle réunit les représentants de la DSI et des entités organisationnelles concernées ainsi que les personnes appelées à collaborer.

4 Pour les besoins de l'audit, des demandes supplémentaires justifiées en termes de contrôles, de moyens, de personnes à interroger peuvent être adressées à la DSI en cours d'audit.

5 Avant la diffusion du rapport d'audit, l'ASSIT met en consultation un projet de rapport aux chefs de la DSI et des services concernés. Les personnes consultées disposent de 21 jours ouvrables pour faire leurs remarques qui seront intégrées dans le rapport final.

Art. 13 Moyens d'investigation

1 Dans le cadre de l'audit, l'ASSIT : – a accès à toute l'information utile aux travaux d'audit (documents, procédures, systèmes, interviews de collaborateurs). Lorsque les informations auxquelles l'ASSIT souhaite avoir accès et dont le contenu est nécessaire à l'éxécution de ses tâches d'auditeur sont soumises à un secret autre que le secret de fonction, l'ASSIT peut demander à l'autorité compétente ou au service propriétaire des données de lever le secret portant sur ces informations, – peut effectuer des contrôles sur site ou dans les systèmes afin de vérifier le respect et l'application des procédures, – peut au besoin contacter directement le(les) collaborateur(s) en charge de la partie auditée, – peut engager tous les moyens nécessaires aux travaux tels que logiciels, matériels, laboratoires, budgets alloués, experts externes. L'ASSIT est responsable de veiller à ce que les logiciels et matériels utilisés dans le cadre de l'audit n'aient pas d'effets nuisibles sur le bon fonctionnement et les performances des systèmes.

Art. 14 Distribution des rapports d'audit

1 Les rapports d'audit sont adressés à la DSI pour tous les audits concernant son périmètre de responsabilité ou, pour les audits particuliers en-dehors de ce périmètre, à l'autorité qui a sollicité un audit.

2 Ils sont remis en copie : – au président du Conseil d'Etat, – au président de la Commission thématique des systèmes d'information, – au chef du département du service concerné par l'audit, – au(x) chef(s) de service(s) directement concerné(s).

Art. 15 Veille technologique

1 L'ASSIT maintient un haut degré de compétence interne et participe aux associations professionnelles liées à l'activité d'audit. Chapitre IV Disposition finale

Art. 16 Entrée en vigueur

1 La Chancellerie d'Etat est chargée de l'exécution du présent règlement qui entre en vigueur le 1er juin 2010.

172.62.3 Tableau des modifications ( RASSIT ) en vigueur Etat au 01.06.2010 Règlement relatif à l'organe d'audit des systèmes d'information et de télécommunication (RASSIT) du

26.05.2010 (RA/FAO 04.06.2010 ) ev le

01.06.2010 (RA/FAO 04.06.2010)

172.62.3 Tableau des commentaires (RASSIT) en vigueur lien vers acte en vigueur Règlement relatif à l'organe d'audit des systèmes d'information et de télécommunication (RASSIT) du 26.05.2010 Préambule Comm. A : Loi du 11.02.1970 sur l'organisation du Conseil d’Etat ( RSV 172.115 )