SubmittedText

Le Conseil fédéral est prié de répondre aux questions suivantes :

1. Par qui ont été ou vont être effectués les tests d'intrusion dans les systèmes de vote électronique en Suisse ?

2. À quel niveau de la chaîne IT (informatique et télécommunication) se situe l'attaque de ces tests ?

3. Y a-t-il ou y aura-t-il des tests "en vraie grandeur", à savoir dans une situation réelle de vote ou dans une situation d'exercice à une échelle proche de celle d'un vote réel ?

4. Quelles sont les mesures prises pour minimiser le risque de fraude d'origine interne, due par exemple à la corruption, à la malveillance, au mécontentement, etc.?

5. N'y a-t-il pas lieu de permettre aux différentes formations et groupes politiques qui sont concernés par les élections et votations de participer de manière approfondie au contrôle de l'efficacité du système de vote électronique qu'on y emploie et de ses mécanismes de protection du secret et de l'authenticité du scrutin ?

FederalCouncilResponseText

1. Dans son deuxième rapport du 31 mai 2006 sur le vote électronique à l'attention du Parlement, le Conseil fédéral informe sur les différents tests organisés avant la mise en fonction des systèmes cantonaux de vote électronique. Parmi eux figurent les tests d'intrusion (un pour chacun des trois systèmes) exigés par la Chancellerie fédérale et entièrement ou partiellement payés par elle. Ces trois tests ont été effectués par des entreprises privées sur mandat de la Chancellerie fédérale. Les cantons concernés ont de leur côté organisé et payé d'autres tests, y compris d'intrusion. Après ces examens initiaux, la Chancellerie fédérale n'a plus financé d'autres audits de sécurité. Ce domaine relève de la compétence des cantons. Les cantons organisent de tels contrôles conformément aux exigences cantonales en la matière.

Un groupe technique composé de représentants des cantons, du monde académique et de la Chancellerie fédérale, élabore actuellement une proposition pour des critères (fédéraux) applicables aux systèmes de vote électronique dits de deuxième génération. Les tests d'intrusion font partie des mesures envisagées. Le résultat des travaux sera intégré au troisième rapport sur le vote électronique qui sera soumis au Conseil fédéral à l'horizon mi-2013 et ensuite au Parlement.

2. Les trois tests d'intrusion mentionnés ci-dessus avaient pour but de tester la sécurité des systèmes. Les entreprises mandatées, des "hackers éthiques", ont essayé de casser la sécurité en procédant comme des hackers potentiels.

3. Les tests ont été effectués en situation d'exercice à une échelle proche de celle d'un vote réel. Par contre, il n'y a pas eu de tests d'intrusion en situation réelle de vote.

4. Différentes mesures sont prises pour minimiser le risque interne. Cela va de l'architecture du système (séparation et isolation physique et logique des composants) aux règles organisationnelles (principe des quatre yeux, limitation du nombre d'intervenants potentiels) en passant par le monitoring permanent, le compteur d'intégrité, etc. Ces mesures découlent des bases légales fédérales et cantonales et des conventions conclues entre la Confédération et les cantons ainsi qu'entre cantons. Elles sont répercutées dans le cahier des charges des personnes concernées.

5. La participation des formations politiques au contrôle du système est une bonne pratique qui est déjà mise en place de manière différente par les cantons. Les cantons de Neuchâtel et Genève par exemple font intervenir une commission électorale à l'initialisation et au déchiffrement de l'urne (début et fin du processus). La commission est composée de représentants des forces politiques élues au parlement cantonal. Les clés sont partagées entre les membres de la commission. A Genève, la commission est permanente. Ses membres sont désignés pour une législature, ce qui leur permet de mener un travail plus approfondi. La commission électorale genevoise a mis sur pied un sous-groupe technique. Celui-ci a accès à l'intégralité de la documentation du système. Le groupe de travail fédéral composé de représentants des cantons et de la Confédération identifie les bonnes pratiques existantes. Il appartient toutefois aux cantons de décider de leur éventuelle application.