Ja. Die beiden Flags haben nichts miteinander zu tun (beides sind Sicherheitsoptionen / Datenschutzoptionen).
"Sicher" bedeutet, dass der Cookie nur über verschlüsselte Verbindungen gesendet wird
"HttpOnly" bedeutet, dass der Cookie für JavaScript nicht sichtbar ist
Sie könnten beispielsweise noch XSS auf einer HTTPS-Seite haben (und dann könnte ein böses Skript Ihren Cookie essen).