Technomedia

D’ici fin 2026, chaque Européen pourra disposer d’un portefeuille d’identité numérique reconnu dans toute l’Union. Pensé pour simplifier les démarches et sécuriser les échanges, ce nouvel outil entre dans une phase décisive avec le lancement d’une consultation publique sur sa certification.

La construction de l’identité numérique européenne vient de franchir une nouvelle étape opérationnelle ce mois-ci. L’Agence de l’Union européenne pour la cybersécurité (ENISA) a, en effet, annoncé l’ouverture d’une consultation publique consacrée à la certification des futurs portefeuilles européens d’identité numérique.

L’enjeu est technique mais décisif car il s’agit de définir les exigences de sécurité et de confiance d’un outil appelé à se généraliser dans toute l’Union d’ici la fin de cette année.

Bâtir une infrastructure commune à tous les pays membre

Cette consultation s’inscrit dans le cadre d’un règlement européen qui impose à chaque État membre de proposer au moins un portefeuille d’identité numérique certifié, qu’il soit public ou privé. Derrière cette obligation, un objectif politique clair : bâtir une infrastructure commune à tous les pays membres permettant aux citoyens, résidents et entreprises de s’identifier et d’échanger des données vérifiées dans l’ensemble du marché européen.

Concrètement, le portefeuille européen d’identité numérique – PEIN ou EU Digital Identity Wallet – se présente comme une application sécurisée capable de regrouper différents éléments d’identité. Il ne s’agit pas seulement d’une version dématérialisée de la carte d’identité. Le dispositif doit permettre de s’authentifier en ligne, de stocker des documents numériques, de partager des justificatifs et de signer électroniquement avec une valeur juridique reconnue.

Lutter contre les usurpations d’idéntité

L’un de ses principes majeurs repose sur le partage sélectif des données. L’utilisateur peut ainsi transmettre uniquement les informations strictement nécessaires à une démarche, par exemple prouver sa majorité sans divulguer sa date de naissance complète. Cette logique vise à limiter la circulation excessive de données personnelles tout en renforçant la sécurité des échanges et donc de lutter contre les usurpations d’identité et les cyberattaques par hameçonnage.

Les cas d’usage envisagés couvrent un large spectre de l’accès aux services publics à l’ouverture de comptes bancaires, de la signature de contrats à la présentation de diplômes ou encore pour des interactions avec des plateformes privées. Le portefeuille est conçu pour fonctionner à la fois en ligne et hors ligne, et pour être reconnu dans tous les États membres. La consultation lancée par l’ENISA vise à harmoniser les exigences de sécurité à l’échelle européenne, condition indispensable à la confiance et à l’interopérabilité du système.

4 millions d’utilisateurs de France identité

La France a déjà avancé sur le sujet de l’identité numérique. L’application France Identité, déployée depuis deux ans, offre, en effet, un aperçu des usages possibles pour les citoyens. L’application rencontre un certain succès puisqu’elle a franchi fin mars le cap des 4 millions d’utilisateurs et s’appuie sur plusieurs fonctionnalités proches de celles attendues au niveau européen : accès simplifié aux services publics, dématérialisation de titres officiels et transmission sécurisée de justificatifs.

Les données disponibles montrent, selon le ministère de l’Intérieur, une adoption progressive, portée par des cas d’usage concrets. L’application permet par exemple de réaliser des démarches sensibles, comme la procuration de vote en ligne, ou de présenter des documents numériques lors de contrôles, notamment de police ou de gendarmerie. France Identité s’inscrit ainsi dans une logique de simplification du quotidien, tout en conservant un cadre sécurisé.

Les documents physiques restent en vigueur

Pour autant, le portefeuille européen ne remplacera pas les documents physiques. Les cartes d’identité, permis de conduire ou autres titres continueront d’exister. Le numérique vient en complément, avec l’ambition de fluidifier les démarches et de faciliter les échanges, notamment dans un contexte transfrontalier. Mais les États doivent aussi éviter de laisser sur le bord du chemin les citoyens en difficulté face aux outils numériques.

Reste une équation complexe à résoudre : concilier sécurité élevée, protection de la vie privée et adoption par le grand public. La consultation publique marque à ce titre une étape clé avant la mise en œuvre concrète d’un dispositif qui pourrait transformer en profondeur la manière dont les Européens prouvent leur identité.

Un monde de plus en plus numérisé, où les démarches administratives sont de plus en plus nombreuses, expose les citoyens à de plus en plus de risques de piratage et de vols de données. C’est la raison pour laquelle l’Europe s’est penchée sur le problème avec le projet EU Digital ID Wallet (portefeuille européen d’identité numérique), introduit en 2021 par la Commission européenne.

« Il s’agit de créer un moyen d’identification électronique européen qui donnera accès aux services publics et privés dans le but d’offrir aux utilisateurs un meilleur contrôle de leurs données personnelles et en les partageant de manière ciblée. Différentes données viendront alimenter le Wallet : le permis, les diplômes, les moyens de paiement, les billets de train et d’avion ou même les fiches d’impositions, etc. », explique Andreea Prian, ingénieur et expert chez Signaturit. Par exemple, une personne y ayant stocké son Permis de conduire pourra louer une voiture dans l’Union Européenne en toute sécurité. Fourni par l’État membre, l’EU Digital ID Wallet sera gratuit et contiendra un moyen d’identification électronique national qui sera délivré par les mêmes organismes que ceux qui donnent déjà des titres d’identité. Il permettra de partager avec des tiers des attributs et des données à caractère personnel en respectant le règlement général sur les données personnelles.

En France, l'application France identité

Ce portefeuille permettra de créer de la confiance. « Les données sont protégées à chaque étape (stockage, partage, traitement…) ; les entités doivent s’authentifier pour utiliser l’EU Digital ID Wallet, qui sera certifié par des organismes indépendants », précise Andreea Prian.

La Commission Européenne, la Parlement Européen et le Conseil Européen se sont accordés sur le texte de loi pour une publication d’ici fin 2023. Il faudra ensuite environ deux ans pour que l’EU Digital ID Wallet soit disponible.

En parallèle, quatre consortiums dont Potential, porté par le ministère de l’Intérieur et des Outre-mer et l’Agence nationale des titres sécurisés (ANTS), ont pour objectif de tester le déploiement. L’identité numérique est ainsi expérimentée à l’échelle européenne avec 38 ministères, 34 opérateurs d’état, 9 centres de recherche, 51 grandes entreprises et 12 start-up issus de 19 pays de l’Union européenne et l’Ukraine. La France teste ainsi l’application « France identité. »

(Article publié dans La Dépêche du dimanche 5 novembre 2023)

C’est l’un des plus petits pays de l’Union européenne avec 1,33 million d’habitants, mais l’Estonie fait figure de géant et de modèle dans le monde entier lorsque l’on parle d’identité numérique. Le pays a même été classé « société numérique la plus avancée au monde » par le magazine spécialisé Wired. Indépendant depuis 1991 et membre de l’UE depuis 2004, l’Estonie, en effet, a très tôt misé sur la numérisation de son économie et de son administration. Au centre de son écosystème, une carte d’identité numérique obligatoire.

En Estonie, la carte d'identité jalonne la vie démocratique

A sa naissance, chaque Estonien se voit attribuer un identifiant national en ligne qui lui permettra d’obtenir, à son quinzième anniversaire, cette carte d’identité numérique véritable sésame pour prouver son identité physiquement ou sur internet pour accéder à de multiples services. Voter en ligne, (depuis 2005 !), accéder aux transports en commun, payer ses impôts, communiquer avec l’école de ses enfants, demander des subventions, gérer sa santé (les ordonnances médicales sont dématérialisées), etc.

Au total, 1 500 services sont ainsi accessibles de manière sécurisée. L’Estonie, dont le modèle inspire des initiatives partout dans le monde et notamment en Afrique, permet également aux étrangers de devenir des « e-citoyens » . Depuis 2014, on peut ainsi accéder à une foule de service à l’exclusion des services civiques bien sûr.

Le revers de la médaille est bien sûr la vulnérabilité accrue aux cyberattaques. En 2007, le pays a subi et résisté à des attaques venant de Russie. Idem l’été dernier dans le contexte de la guerre en Ukraine. Mais pas de quoi décourager l’Estonie, dont le modèle continue à inspirer nombre de pays dont la France.

En France, les retards de l’application France identité

Le 15 mars 2021, une nouvelle carte d’identité au format « carte bancaire » est progressivement entrée en circulation en France. Il était temps, la France est l’un des derniers pays européens à avoir adopté la carte nationale d’identité électronique (CNIe). Dotée d’une puce, comme la carte d’identité estonienne, cette carte biométrique est beaucoup plus sécurisée que l’ancienne. Elle doit aussi se doubler d’une application numérique, France identité, à installer facultativement sur son smartphone.

Cette application chargera (via la puce NFC du smartphone) les informations d’identification contenues dans la puce de la carte d’identité (nom, prénoms, date et lieu de naissance, nationalité, sexe, adresses postales et mail, photographie), sauf les empreintes digitales. Ces informations permettront ensuite l’authentification et la connexion aux services, dont le millier qui utilise déjà FranceConnect.

Mais le test de cette application a pris du retard. Si les 2 500 testeurs qui utilisent la version Android n’ont pas rencontré de souci particulier, les 2 500 autres qui ont donc installé la version pour iOS, le système des iPhone, cumulent les bugs. En cause, la diversité des iPhone et le verrouillage pointilleux de la puce NFC par Apple. Un problème en cours de résolution.

L’Agence nationale de sécurité des systèmes d’information (Anssi) est par ailleurs toujours en train de vérifier le code source de l’application dont le nombre de testeurs va atteindre 20 000. Le gouvernement décidera ensuite de la date officielle de lancement.

Par Thomas Manierre, Directeur EMEA Sud de BeyondTrust

Une identité numérique fait le lien entre une personne physique et son alter ego numérique, elle peut couvrir à la fois plusieurs comptes, identifiants, et un nombre infini de droits au sein du système IT de l'entreprise. La gestion des identités est donc essentielle pour la sécurité des données de cette dernière. Au cours des années, j'ai pu relever 6 problèmes principaux relatifs à la gestion des identités trop souvent négligés par les CISO. Les voici.

1. Les employés portant le même nom ou des noms similaires

La plupart des adresses e-mails d'entreprise sont formées à partir du prénom et du nom de famille, dans un sens ou dans l'autre. Au gré du développement de l'entreprise, il est probable que l'on aboutisse à plusieurs comptes portant le même nom. Généralement, on opte pour l'ajout d'une initiale intermédiaire ou d'un chiffre en suffixe. Cependant, la coexistence de plusieurs entrées comparables dans la liste des adresses peut compliquer l'identification d'une personne. L'expéditeur devra vérifier la fonction et la position géographique d'un utilisateur pour s'assurer que c'est bien la bonne personne. 

Tronquer le nom d'une personne pour l'attribution d'un compte ou d'une adresse e-mail peut donc poser problème. Et plus on abrège, plus cela devient problématique. Il est recommandé d'adopter une nomenclature de création de compte fondée sur les noms complets, avec initiale du second prénom au besoin ou une série de lettres et de chiffres pour éviter les conflits. Ainsi, on évitera d'envoyer des e-mails à la mauvaise personne avec le risque de divulguer des informations sensibles et de s'exposer à des problèmes de respect de la confidentialité. 

Cette pratique permet aussi d'éviter toute confusion au moment d'effectuer une attestation d'identité par identité. 

2. Les employés mouvants

Si dans l'organisation, certains employés changent de service fréquemment, comme des infirmières ou des consultants, il y aura probablement des problèmes de classification d'identité. Comment les enregistrer dans la solution de gouvernance des identités et dans les annuaires ? Les permissions, les privilèges et le rôle sont-ils changés à chaque nouvelle affectation ? Il faudrait adapter les droits d'accès accordés à chaque changement de rôle. 

Cependant, les employés mouvants ont souvent des droits assez larges et il est difficile à un moment donné de décréter quels devraient être les droits d'accès appropriés à la situation. Souvent, ils bénéficient de droits excessifs pour leur permettre d'assumer leurs différents rôles, ce qui nous amène au problème n°3.

3. Les privilèges excessifs

Un compte administrateur/superuser dispose souvent de droits excessifs et ne respecte pas toujours les meilleures pratiques. Associé à une identité, un compte admin peut conférer un contrôle total sur un environnement. Un admin devrait systématiquement être membre de groupes admin pour permettre le reporting de qui a accès à quoi. 

Il suffit qu'un utilisateur connaisse les identifiants admin sans être référencé dans un groupe admin pour créer un sérieux problème. Les accès privilégiés avec des droits excessifs constituent un problème courant. Cela arrive fréquemment parce que l'on se partage des comptes sans les associer aux identités. 

4. Fusions et acquisitions

Même les professionnels les plus expérimentés craignent les fusions et acquisitions. Au moment de consolider l'IT, comme les domaines, les identités, les applications et les règles, il peut être tentant de négliger les meilleures pratiques pour atteindre plus rapidement les objectifs fixés. Des problèmes d'identité peuvent en découler : droits excessifs, coexistence de plusieurs comptes et noms de domaine non conformes. 

Ceci peut engendrer une cascade d'autres problèmes liés à l'identité : applications qui ne fonctionnent que dans certains domaines, incohérences entre les déploiements préexistants et nouveaux. Si les entreprises ne fusionnent pas leurs procédures standard de fonctionnement et n'établissent pas un état des lieux de référence de l'IT, toutes les initiatives ultérieures de gestion des projets et des identités risquent d'en pâtir.

5. Identités non humaines

Avec les environnements informatiques modernes, de nombreux types d'identités non humaines (que l'on appelle aussi identités machine) se sont multipliés. D'après Forrester Research, « les identités machines se multiplient deux fois plus que les identités humaines ». Leur gestion devient donc une problématique sérieuse. Il convient de les traiter selon les fonctions qu'elles exécutent et leurs interactions avec des êtres humains. 

Cependant, les entreprises ne savent pas toujours classer correctement les identités réservées à la robotique, à l'automatisation, aux systèmes de contrôles industriels, etc. au point d'exposer ces identités machine aux velléités de cybercriminels. Le reporting d'attestation des identités machine est souvent imprécis car leurs droits de propriété et d'accès sont mal documentés. Pour y remédier, toutes les identités machine devraient avoir une attribution de propriété, comme pour les relations entre compte et identité.

6. Identités de tiers/fournisseurs

Quasiment toutes les entreprises font appel à des prestataires, auditeurs, sous-traitants et intérimaires pour assumer différentes fonctions. Chaque fois que des tiers doivent obtenir l'accès à l'environnement d'une entreprise, des contrôles spécifiques doivent être appliqués pour gérer les identités de ces prestataires et valider la légitimité de leur activité. Or si ces prestataires changent souvent, la charge de gestion de leurs identités risque de peser lourd sur l'entreprise. En ce qui concerne la gestion des identités des tiers / fournisseurs, les entreprises devraient envisager de créer des contrôles en dehors des services d'annuaire habituels et d'éviter les comptes génériques de type « Sous-traitant1 » ou « Prestataire_XYZ ». 

L'idéal est d'attribuer à ces utilisateurs des noms de comptes valides pour la durée de leur mission et de privilégier un paradigme de gestion reflétant la simplicité et la nature temporaire des accès autorisés. Autrement dit, le choix de consigner les identités de tiers dans un service d'annuaire ou dans une solution dédiée aux accès à distance de prestataires dépend du niveau de droits qu'il leur faut pour accomplir leur mission. Le groupe ou la solution devrait suivre le modèle du moindre privilège, avec des outils de surveillance robustes et être bien plus simple à administrer que ne le sont les employés. Cela suppose de gérer tout le cycle de vie, de l'accueil au départ, en passant par les mutations internes et d'assurer qu'aucun compte orphelin ne perdure une fois que l'identité a expiré.

Il n'est pas toujours simple de régler les problèmes de sécurité des identités si bien que les entreprises vont parfois devoir continuer de fonctionner malgré les exceptions et les incohérences. Plus une entreprise fera l'effort de régler ces problématiques, meilleure sera la posture de sécurité des identités et sa résistance aux cybermenaces. Une chose est sûre, si vous vous apprêtez à créer un tout nouvel environnement, tenez compte de ces problématiques en amont pour limiter leur escalade au gré du développement de votre entreprise.

 

Par Elia Verdon, Université de Bordeaux

Les évènements intervenus au Stade de France dans le contexte de la finale de la Ligue des Champions en 2022 ont servi d’argument pour renouveler les discours prônant l’utilisation de la reconnaissance faciale pour la sécurisation de grands évènements, comme les Jeux olympiques ou la Coupe du Monde de rugby à venir en France.

Cette promotion de la reconnaissance faciale fait écho au dernier rapport du Sénat proposant le recours, à titre expérimental, à la reconnaissance « biométrique sur la voie publique en temps réel […] à des fins de sécurisation des grands évènements ».

Ces propositions d’expérimentations soulèvent des risques d’accoutumance des populations, facilitant par la suite une pérennisation de cette technologie, qualifiée par le professeur de droit et d’informatique Woodrow Hartzog de « mécanisme de surveillance le plus dangereux qui ait été inventé ». Les risques en matière de surveillance des individus et de protection des libertés induits par la reconnaissance faciale sont assurément importants.

Identification et authentification, deux finalités aux enjeux bien différents

L’identification biométrique vise à retrouver un individu au sein d’un ensemble de personnes, au moyen de sa biométrie (par exemple son visage). On compare alors le visage de la personne recherchée à tous les autres visages inscrits dans une base de données constituée au préalable. Cet usage peut s’effectuer en temps réel, ou bien_ a posteriori_ sur des séquences d’images enregistrées.

A contrario, l’authentification vérifie qu’une personne est bien celle qu’elle prétend être. Pour cela, on compare en temps réel sa biométrie préalablement enregistrée – et seulement celle-ci – avec les caractéristiques biométriques de la personne. C’est le cas par exemple pour déverrouiller certains smartphones ou encore pour le contrôle aux frontières via le système PARAFE (où les données de la personne ont été préenregistrées dans une puce au sein du passeport lors de sa fabrication).

Ces deux finalités, authentification et identification, n’impliquent pas le même degré de surveillance des individus : l’identification des individus par un système de reconnaissance faciale, notamment sur la voie publique, a des potentialités de surveillance bien plus importantes que l’authentification, qui s’effectue pour accéder à un lieu précis.

Quelle surveillance l’identification faciale rend-elle possible ?

L’identification rend nécessaire la constitution d’une base de données centralisant les « gabarits », c’est-à-dire des modèles informatiques quantifiant les caractéristiques essentielles des visages préenregistrés : positions et tailles relatives des yeux, menton, bouche, etc. En France, l’identification faciale est permise depuis 2012 à des fins d’enquête judiciaire par les services de police dans la recherche d’auteurs d’infraction : les visages de personnes suspectées d’infraction peuvent être comparés aux visages inscrits dans le fichier du « traitement des antécédents judiciaires », ou « TAJ ».

La centralisation des visages au sein d’une base de données soulève des risques de surveillance, car le couplage de ces données faciales avec des caméras de surveillance ou des drones est susceptible de permettre la mise en place d’un système de reconnaissance faciale à distance, en temps réel, dans l’espace public, et à l’insu des individus.

Cette technologie est particulièrement individualisante, au regard de la distinction qu’elle peut faire entre les individus au moyen de leurs caractéristiques faciales. Étant donné qu’il est interdit de dissimuler son visage dans l’espace public, le déploiement de caméras de surveillance à reconnaissance faciale automatique entraînerait le suivi continu et généralisé des populations. L’individu serait alors privé de son droit à la vie privée et à l’anonymat, tous deux des droits fondamentaux primordiaux en démocratie.

Bien que la reconnaissance faciale en temps réel dans l’espace public ne soit pas aujourd’hui autorisée en France, les diverses tentatives et expérimentations passées et à venir imposent de comprendre les risques de cette technologie. Si l’identification des individus par un système de reconnaissance faciale peut sembler louable pour des raisons de sécurité publique ou de résolution d’enquêtes, cela est plus discutable au regard de la généralisation de la surveillance faciale des individus.

Le choix d’une reconnaissance faciale protectrice

A contrario, l’utilisation de la reconnaissance faciale à des fins d’authentification d’un individu conduit à un degré de surveillance moindre, car il est alors possible de ne pas centraliser les visages au sein d’une base de données. En effet, l’authentification peut être effectuée en comparant le visage photographié en temps réel au gabarit du visage préalablement enregistré, soit dans un support physique (son passeport, sa carte d’identité, son téléphone, etc.), soit dans une base de données.

Utiliser une base de données centralisée pour l’authentification induit les mêmes enjeux que l’identification. En revanche, si le gabarit est inscrit au sein d’un support physique, il sera plus aisé d’écarter les risques d’une société de surveillance en redonnant à l’individu le contrôle sur sa biométrie (on parle alors de « biométrie à la main de l’usager »).

Légiférer pour mieux protéger les libertés

Au vu des risques de surveillance que fait peser cette technologie, il semble nécessaire de ne pas éroder nos libertés. Si le rapport du Sénat se veut force de propositions en la matière, il est parfois ambigu. En effet, il propose d’interdire « l’utilisation de la reconnaissance biométrique à distance en temps réel dans l’espace public », tout en posant directement des exceptions à ce principe (proposition 22).

Par ailleurs, dans un souci de préservation des libertés, il aurait pu préciser, voire imposer, l’authentification biométrique à la main de l’usager, lorsqu’il évoque l’utilisation de l’authentification biométrique à des fins de fluidification des flux de certains évènements (proposition 16).

Enfin, une interdiction de l’utilisation de la reconnaissance faciale dans l’espace public, comme à San Francisco, permettrait d’amoindrir les risques d’une société de surveillance. Le rapport du Sénat propose à plusieurs reprises des expérimentations (propositions 7, 14 et 22). Or, les expérimentations ont tendance à se généraliser. Tel fut le cas de PARAFE : il s’agissait à l’origine d’une expérimentation visant le passage rapide aux frontières extérieures par reconnaissance automatisée des empreintes digitales. Ce système a par la suite été pérennisé et s’est vu doter de nouvelles capacités d’authentification par reconnaissance faciale. Ces expérimentations, motivées par des arguments de praticité (fluidifier les accès et améliorer l’« expérience utilisateur »), entraînent des risques d’accoutumance et qui ne sont pas sans risque pour les libertés. Une légère facilité du quotidien permise par cette technologie vaut-elle le prix de nos libertés fondamentales (droit à la vie privée, liberté d’aller et venir anonymement, etc.) ?

Elia Verdon, Doctorante en droit public et en informatique, CERCCLE (EA 7436) et LaBRI (UMR 5800), Université de Bordeaux

Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.

 

Par Jim Close, regional vice president of enterprise chez Kofax

A l’heure où l’Union Européenne ambitionne de rendre accessible d’ici octobre 2022 l’identité numérique européenne à chaque citoyen, résident et entreprise de l’UE, les acteurs du secteur bancaire peinent encore à adopter le dispositif en question. Malgré des efforts en matière de transformation digitale, de nombreuses banques consacrent encore un budget trop important à la maintenance de systèmes obsolètes et complexes, au dépend des technologies modernes et innovantes (comme l’identité numérique) dont elles ont besoin pour faire face à la concurrence actuelle.

Qu'il s'agisse d’améliorer l’expérience client, ou d’adopter les normes de conformité ou de sécurité, la gestion de l’identité numérique représente un enjeu majeur pour le secteur bancaire qui doit faire face à l’arrivée sur le marché de nouveaux arrivants, tels que les Fintech. Toutefois, il est bon de souligner que si la réaction doit être rapide, elle ne doit pas se faire dans la précipitation afin de générer des résultats tangibles et pérennes.

Faire preuve de méthodologie afin de bien gérer l’identité numérique

Le secteur bancaire est bien évidemment un secteur où l’identité des clients doit être minutieusement contrôlée afin de se conformer à la règlementation et d’éviter toute fraude ou usurpation d’identité. La gestion de l’identité numérique répond particulièrement bien à cette nécessité.

Pour rester dans la course, les banques doivent se doter d’outils numérique appropriés qu’elles ont tendance à adopter dans la précipitation, sans passer par une analyse complète de l’ensemble des processus manuels, susceptibles d’être remplacés. Les étapes particulièrement fastidieuses de vérification de l’identité (noms, adresses…) qui doivent être maintenues pour des raisons légales peuvent par exemple générer un certain nombre d’erreurs et augmenter les coûts de traitement et représentent donc des enjeux financiers importants.

Outre les problèmes rencontrés en interne, le risque est grand que certains clients abandonnent la procédure d’ouverture de compte, car découragés par la quantité de document qui doit être fournie afin de se plier aux contrôles d’identité.

En revanche, grâce à la mise en place de solutions technologiques de bout en bout, les banques peuvent tirer profit du principal atout qu’offre la gestion de l’identité numérique. De ce point de vue, l’automatisation des processus, et en particulier la collecte automatique de données et de documents, offre des gains de temps considérables qui simplifient les procédures administratives.

Quelles sont les bonnes pratiques à adopter afin qu’un tel projet soit rapidement mis en place et puisse encore répondre aux exigences de l’entreprise dans deux, cinq, voire dix ans ?

L'automatisation intelligente : un gage de réussite

Malheureusement, la vérification de l’identité s’appuie sur des processus de traitement des documents longs et fastidieux. Ces processus papier ou électroniques impliquent l’utilisation de données qui doivent être vérifiées soit par le biais d’un lien vidéo ou en personne.

Pour le client cela représente un inconvénient majeur, tandis que du point de vue des institutions financières, ces processus garantissent le respect de la réglementation, protègent contre la fraude et réduisent le risque de devoir payer de fortes amendes. Néanmoins, des difficultés persistent quant à la maîtrise de l’ensemble du processus de contrôle d’identité.

La bonne nouvelle est que certains y parviennent en partie, grâce à la montée en puissance du développement métier, des plateformes cloud, de l'automatisation intelligente, et au recours régulier à l'intelligence artificielle (IA) dans le traitement de données critiques.

La mise en place d’une identité numérique consiste principalement à gérer des flux de gros volumes de contenu. L’automatisation de nombreux processus, en particulier lorsque de multiples systèmes rentrent en ligne de compte, ne peut être que bénéfique et augmente même certains indicateurs de performance tels que le Net Promoter Score (NPS). Elle permet également d’offrir des expériences client plaisantes, elle facilite le travail des équipes de contrôle dont l’activité est principalement manuelle et répétitive, elle réduit les coûts de non-conformité, et elle facilite tout simplement la vie de l’ensemble des collaborateurs.

L’identité numérique doit pouvoir tout d’abord s’appuyer sur une technologie conforme à la norme européenne eIDAS. D’autre part, elle repose sur des fonctions clés telles que la capture cognitive, la reconnaissance optique de caractères (OCR) et l’IA afin de pouvoir extraire les données des papiers d’identité et faciliter les processus. L’automatisation intelligente permet, quant à elle, d’exploiter le lecteur du NFC des appareils mobiles et de lire le composant électronique de certains papiers d’identité. Enfin, l’identité numérique permet de de contrôler les données personnelles afin de lutter contre l’usurpation d’identité et répond aux exigences des banques en matière de lutte contre le blanchiment d’argent et de normes KYC (« Know Your Customer »).

Lorsque ces technologies sont mises en place, des résultats concrets peuvent être obtenus en peu de temps. Mieux encore, une plateforme d’automatisation intelligente fournit les fonctionnalités supplémentaires qui permettent aux banques de continuer à obtenir des résultats en fonction de l’évolution de leurs besoins. En d’autres termes, les organisations qui en bénéficient protègent et évitent de devoir régulièrement renouveler leurs investissements.

Même si certains investissements doivent être maintenus, le secteur bancaire doit se moderniser davantage, en faisant appel à de nouvelles technologies, afin de se prémunir contre une concurrence de plus en plus rude. Bien-sûr il faut éviter toute précipitation qui pourrait avoir comme conséquence de devoir remettre tout à plat dans un futur proche. L’approche la plus pertinente consiste à prolonger les efforts déjà effectués tout en maintenant les processus existants, et d’y intégrer de multiples technologies afin d’en tirer pleinement parti.

 

Herve Liotaud, VP Western Europe chez SailPoint

Un double mouvement pousse à l'adoption de la sécurité des identités dans le secteur des services financiers. Les organisations sont "poussées" par la menace croissante des cyber-attaques à repenser et à renforcer leur approche de la sécurité. Dans le même temps, elles sont également "tirées" par les avantages potentiels d'une plus grande efficacité opérationnelle et d'une meilleure conformité. Il n'est guère surprenant que le secteur des services bancaires et financiers soit déjà à la recherche d'opportunités cachées dans les cyberdéfis auxquels il est confronté. Après tout, il a été à l'avant-garde de l'utilisation de la technologie pour transformer la façon dont il exerce ses activités, de l'optimisation des opérations à l'amélioration de l'expérience client.

La sécurité des identités est une approche de la cybersécurité qui se concentre sur une vision globale de tous les accès dans une entreprise et des identités numériques auxquelles ils sont attribués. Cette approche présente l'avantage de protéger séparément chaque application, service et plateforme, car elle offre une plus grande visibilité et prévient les cybermenaces récurrentes telles que la duplication des mots de passe, la dérive des autorisations et le surdimensionnement.

La sécurité des identités est mise en avant aujourd'hui car le secteur a récemment été confronté à une accélération forcée de la transformation numérique, grâce aux effets de la pandémie de Covid-19. Même avant la pandémie, le taux de numérisation des services bancaires et des technologies dorsales était de plus en plus intégré, à la fois entre les différents systèmes dorsaux d'une organisation et avec ceux de ses partenaires.

La nature de plus en plus numérique de la banque moderne entraîne une prolifération des données qui doivent être protégées. Les institutions financières traitent chaque jour des millions de transactions contenant de grandes quantités d'informations financières sensibles et d'informations personnelles identifiables. Si l'on associe la valeur de ces informations aux conséquences dévastatrices qu'elles peuvent avoir si elles tombent entre de mauvaises mains, on comprend pourquoi un certain nombre d'entreprises de services financiers sont à la fois réticentes à prendre des risques et fortement réglementées, ce qui crée une demande de solutions de sécurité qui réduisent les risques et améliorent la conformité.

Qu'est-ce qui freine le secteur des services financiers ?

Malgré d'importants investissements dans la formation du personnel, le secteur bancaire affiche l'un des taux les plus élevés de violations de données par des initiés. Les silos départementaux et les structures organisationnelles complexes posent des problèmes pour obtenir une visibilité totale sur les accès des utilisateurs, le stockage des données et les systèmes. Alors que le secteur bancaire a entamé sa transition vers le numérique, nombre d'entre elles se trouvent actuellement dans un état hybride qui contient encore des systèmes non cloud et une dépendance à l'égard des moyens traditionnels de suivi des données tels que les feuilles de calcul et autres processus manuels.

La double pression de la nécessité de sécuriser les données numériques et de la nécessité de les auditer conduit à une plus grande adoption du modèle de sécurité des identités. Mais cette évolution met également en lumière les avantages que l'on peut tirer de l'utilisation des dernières innovations technologiques pour y parvenir. L'automatisation peut réduire la charge des tâches manuelles répétitives tout en garantissant l'intégrité et l'exhaustivité des ensembles de données. L'ajout de capacités "intelligentes" grâce à l'apprentissage automatique permet aux organisations de services financiers de découvrir et de résoudre des problèmes jusqu'alors inconnus qui présentent des risques. L'utilisation de ces capacités dans le cadre d'un système agile de sécurité de l'identité signifie qu'il peut apprendre et s'adapter à l'évolution des besoins de l'entreprise.

Une sécurité renforcée pour faire face à l'avenir

L'évolution (et la nouvelle concurrence) du secteur bancaire signifie que les attentes en matière de pratiques commerciales sécurisées et intégrées ne vont pas se relâcher de sitôt. La sécurité des identités peut être le moyen de préparer l'avenir des organisations bancaires en intégrant la conformité, l'agilité et une vision holistique de l'accès.

Par Emmanuel Schalit, CEO de Dashlane 


Il n'y a pas que les Facebook et les Google du monde entier qui aspirent les données que nous laissons en ligne et qui les utilisent à leur profit. Après tout, la monétisation des données des utilisateurs est le modèle économique dominant dans le monde numérique depuis près de deux décennies.

Les mensonges des entreprises

Ne vous laissez pas abuser par les campagnes de lobbying et de marketing - ce business model est fondamentalement incompatible avec la protection de la vie privée. Ces services n'ont jamais été conçus dans le but premier d’être sécurisé ou de garantir la protection de vos données privées. De fait, les consommateurs ont un faux sentiment de confiance quant à la protection de leurs données par ces entreprises.
Au contraire, les consommateurs ne devraient pas s’enchaîner de la sorte aux services et aux réseaux sociaux qu'ils utilisent. Oui, les données sont une monnaie avec laquelle négocier avec les marques (par exemple, vos préférences en échange d'une remise), mais pour reprendre le contrôle de nos données, nous devons adopter une nouvelle mentalité.
L'indépendance numérique doit être au premier plan de nos préoccupations. Et pour comprendre ce qu'est l'indépendance numérique, nous devons approfondir le concept d'identité numérique. Plus précisément, nous devons comprendre comment l'identité numérique est devenue partie intégrante de notre société.

Qu'est-ce que l'identité ?

Notre identité se résume à la façon dont nous sommes perçus. Cela peut se faire par le biais d'interactions en face à face et des informations que nous partageons volontairement avec ceux que nous rencontrons. À cet égard, nous contrôlons l'information que nous voulons partager, quand nous la partageons, et donc la manière dont nous sommes perçus.
L’identité numérique change complètement ce paradigme. Bien que nous soyons encore en mesure, à certains égards, de sélectionner les informations que nous voulons partager en ligne, nous sommes souvent obligés de livrer une partie de nos données afin de pouvoir nous inscrire à de nouveaux services. En cours de route, nous pourrions aussi, sans réfléchir ou sans le savoir, partager des informations plus personnelles sur nous-mêmes. Au fur et à mesure que les marques relient les points entre les informations que nous avons fournies volontairement et celles que nous avons partagées sans en avoir conscience, notre identité numérique se complexifie.
L'identité numérique fait partie intégrante, fragmentée, inévitable et déroutante de notre vie. Elle est une condition préalable à de nombreux services essentiels et elle a une valeur bien plus élevée qu'auparavant, car les entreprises et les institutions à qui nous confions nos données cherchent à les exploiter pour leur propre bénéfice.

Bienvenue dans la troisième ère de l'identité numérique

Ça n'a pas toujours été comme ça. Au fur et à mesure que l'influence et la portée d'Internet se sont accrues, l'identité numérique a connu ses propres changements distincts, ou Ères.
La première ère de l'identité numérique concernait la gestion et le contrôle. À l'aube d'Internet, les gens ont commencé à faire confiance à un petit nombre de fournisseurs de services favoris pour obtenir de l'information bénévolement. Le commerce en ligne voyait alors le jour et les gens géraient facilement leur relation avec les fournisseurs de services numériques qu'ils avaient choisis d'utiliser.
La deuxième ère de l'identité numérique a commencé lorsque Internet s’est répandu et s’est installé dans la vie quotidienne. Cette nouvelle ère fut plus complexe et fragmentée. Nous avons pris conscience de la mesure dans laquelle nos données étaient utilisées par des sociétés numériques et d'autres géants en ligne. Le capitalisme de surveillance, ou la marchandisation des données personnelles, est né, et nous avons commencé à réaliser que nous en faisons tous partie. C'est là que la lutte pour le contrôle de nos identités numériques a commencé.
Nous sommes maintenant dans la troisième ère de l'identité numérique. La technologie est partout autour de nous, et nos vies sont accessibles en ligne plus que jamais. Nous commençons également à prendre la mesure dans laquelle nos données sont collectées et commercialisées. Nous avons réalisé que, dans l'économie numérique dans laquelle nous vivons, une identité numérique sécurisée et contrôlée est essentielle. Cependant, Internet intervenant dans tous les aspects de notre vie, le contrôle et l'accès à nos identités numériques par des tiers sont de plus en plus importants - et c'est inquiétant.
Que cela vous plaise ou non, nos vies sont façonnées par l'empreinte numérique que nous laissons partout où nous allons. Chaque clic, chaque seconde passée à regarder un article ou une vidéo est constamment analysée par les applications que nous utilisons quotidiennement. Cette obsession de l'engagement et de la personnalisation a créé des chambres d'écho, amplifié les campagnes de désinformation et mobilisé les extrémistes. Ces mêmes technologies sous-jacentes dictent bien d'autres aspects de notre vie : qui nous voyons sur les applications de rencontre, combien coûtent nos polices d'assurance et notre aptitude à un nouvel emploi.

À vous de jouer

Nous ne devrions pas avoir à nous soucier de la protection de la vie privée et du contrôle de l'accès à la technologie que nous voulons et dont nous avons besoin. Alors, que pouvons-nous faire pour devenir indépendants numériquement de tous les services qui partagent nos données, pour leur propre bénéfice ? Comment pouvons-nous atteindre notre indépendance numérique, à l'instar de la première ère, lorsque nous avions le choix de la personne avec qui nous partagions nos données ?
L'indépendance numérique est cruciale pour une troisième ère plus sûre, mais elle exige que vous preniez les choses en main. Il y a quelques étapes simples mais efficaces que vous pouvez suivre pour le faire ; le point de départ pourrait être d'éviter l'ouverture de sessions uniques et d'utiliser un gestionnaire de mots de passe décentralisé pour créer des mots de passe uniques et complexes pour chaque site Web ou service que vous utilisez.
Cela empêche le partage des données et la publicité croisée. Il rend également le suivi multiplateforme à partir d'une seule entité comme Facebook beaucoup moins invasif qu'une fonction de Single Sign-On (comme dans le cas de la fonction Login with Facebook), et vous empêche de garder tous vos œufs dans un même panier. Les gestionnaires de mots de passe peuvent automatiquement compléter les informations d'identification de compte sur chaque site et sur chaque appareil que vous utilisez, afin que vous n'ayez pas à essayer de vous rappeler chaque mot de passe pour tous vos comptes en ligne.
L'indépendance numérique est un état que tous les internautes devraient chercher à atteindre, et ce n'est que par le contrôle total de notre empreinte numérique que nous y parviendrons. Maintenant que de plus en plus d'entreprises telles que Mozilla et Apple se positionnent comme des marques qui privilégient la protection de la vie privée, il existe plus de ressources que jamais pour vous aider à prendre le contrôle de votre identité numérique.
La troisième ère de l'identité numérique est à un tournant : les entreprises se rendent compte que les consommateurs se soucient de plus en plus de leurs propres données et s’aperçoivent que les données dont ils disposent ne sont plus un atout pour eux, mais un fardeau à protéger.