Dans l'article précédent de ce blog, nous avons examiné pourquoi la mise en œuvre est souvent la partie la plus difficile de la modernisation des identités. Les normes constituent un fondement essentiel de l'interopérabilité, mais pour réussir leur déploiement, les organisations doivent combler le fossé entre les spécifications techniques et les réalités opérationnelles.
Pourtant, même lorsque les systèmes d'identité fonctionnent correctement et interagissent comme prévu, une question importante subsiste :
Comment détermine-t-on concrètement si une identité est fiable ?
À mesure que les organisations passent de systèmes de vérification isolés à des cadres de confiance plus larges, l'assurance devient tout aussi importante que l'identité elle-même. Le débat ne porte plus simplement sur l'établissement de l'identité. Il s'agit de plus en plus de déterminer si une identité est fiable au sein de différentes organisations, sur différents canaux et dans différents cas d'utilisation.
La confiance ne se transmet pas automatiquement
Tout au long de cette série, nous avons examiné les efforts déployés par le secteur pour renforcer l'interopérabilité. Les organisations souhaitent que les informations d'identité circulent plus facilement entre les institutions, les canaux et les écosystèmes afin de réduire les frictions, d'éliminer les processus de vérification redondants et d'offrir une meilleure expérience utilisateur.
Cependant, l'interopérabilité à elle seule ne suffit pas à instaurer la confiance.
Un identifiant peut être échangé avec succès entre différents systèmes, mais cela ne signifie pas pour autant que toutes les organisations lui accorderont le même niveau de confiance. La capacité à transférer des informations d’identité est fondamentalement différente de la capacité à faire confiance à ces informations une fois qu’elles sont reçues. À bien des égards, cela reflète la distinction entre la portabilité des données et la portabilité de la confiance. Transférer des informations est relativement simple. Transférer la confiance est quant à lui considérablement plus difficile.
À mesure que l'identité numérique se généralise dans les secteurs des services financiers, de la santé, de la mobilité et du secteur public, les organisations se rendent de plus en plus compte que l'interopérabilité ne représente qu'une partie du défi. La question la plus importante est de savoir si l'on peut se fier à une identité pour un usage précis, dans des circonstances particulières et à un moment donné.
L'assurance dépend du contexte
Depuis de nombreuses années, les organisations s'appuient sur des cadres de « niveaux d'assurance » (LOA) pour garantir la fiabilité des identités numériques. Ces cadres constituent une base utile pour évaluer la manière dont les identités sont vérifiées, dont les identifiants sont délivrés et dont les utilisateurs s'authentifient.
Le problème, c'est que la confiance est rarement immuable.
Une identité hautement fiable établie lors de l'inscription peut constituer un excellent point de départ, mais la confiance peut évoluer avec le temps. Les appareils sont remplacés, les identifiants sont renouvelés, le comportement des utilisateurs évolue et le paysage des menaces ne cesse de changer. À mesure que les systèmes d'identité deviennent de plus en plus interconnectés, la fiabilité devient de plus en plus une caractéristique dynamique plutôt que fixe.
Par ailleurs, les exigences en matière de confiance varient considérablement en fonction de la transaction effectuée. Un établissement financier qui ouvre un nouveau compte est confronté à des risques différents de ceux d’un professionnel de santé qui accorde l’accès aux informations d’un patient. De même, un opérateur de transports en commun qui vérifie l’éligibilité à un programme de tarifs réduits peut avoir besoin d’un niveau de confiance différent de celui d’une organisation qui autorise un paiement d’un montant élevé.
L'identité sous-jacente est peut-être la même, mais les exigences en matière d'assurance ne le sont pas.
Cette évolution amène les organisations à aller au-delà de la simple question de l'identité d'un individu. Elles s'interrogent de plus en plus sur le niveau de confiance nécessaire pour étayer une décision spécifique. La confiance n'est plus considérée comme une notion binaire. Elle est contextuelle, fondée sur le risque et dépend de l'objectif visé.
La confiance doit être constamment confirmée
Historiquement, de nombreux programmes d'identité mettaient fortement l'accent sur l'inscription. Une fois l'identité vérifiée et les identifiants délivrés, la confiance était en grande partie considérée comme acquise par la suite.
Les écosystèmes numériques modernes remettent en cause cette approche.
Les organisations prennent de plus en plus conscience que la confiance doit être préservée tout au long du cycle de vie des identités. L'enregistrement reste important, mais il ne constitue qu'un élément d'un cadre d'assurance plus large qui inclut l'authentification, la gestion des identifiants, les processus de récupération et la maintenance continue.
Certains des risques les plus importants apparaissent bien après la mise en place d'une identité. Les procédures de récupération de compte, les situations de remplacement d'appareil et les processus de gestion des exceptions peuvent introduire des vulnérabilités qui compromettent des programmes d'identité par ailleurs robustes. Par conséquent, l'assurance est de plus en plus considérée comme un enjeu lié au cycle de vie plutôt que comme une simple vérification ponctuelle.
Cette évolution favorise l'adoption croissante d'approches fondées sur les risques, qui évaluent en permanence les indicateurs de confiance tout au long du parcours de l'utilisateur. La réputation de l'appareil, l'analyse comportementale, le contexte de la transaction et les schémas d'authentification peuvent tous contribuer à une vision plus dynamique de l'assurance. L'objectif n'est pas simplement d'établir la confiance une fois pour toutes, mais de déterminer en permanence si cette confiance reste justifiée tout au long d'une interaction.
Mesurer la confiance dans la vie réelle
Tout comme l'interopérabilité doit être validée dans des environnements opérationnels, l'assurance doit également être testée dans des conditions réelles.
Les organisations doivent avoir l’assurance que les systèmes d’identité fonctionnent de manière cohérente, quels que soient les utilisateurs, les canaux, les appareils et les environnements d’exploitation. Elles doivent comprendre comment ces systèmes se comportent en cas d’incidents nécessitant une reprise, d’échecs d’authentification, de dégradation des conditions réseau et de scénarios de fraude en constante évolution. Cette assurance ne peut se limiter aux seules politiques ou spécifications techniques ; elle doit être démontrée dans la pratique.
Chez Fime, l'un de nos rôles principaux consiste à aider les organisations à instaurer la confiance grâce à des tests, à la certification et à la validation de l'interopérabilité au sein des écosystèmes d'identité et de paiement. Consult Hyperion complète ces capacités en proposant des services de conception de systèmes, d'accompagnement à l'intégration et de conseil stratégique qui aident les organisations à traduire leurs exigences en matière d'assurance en modèles de déploiement concrets.
Ensemble, ces capacités aident les organisations à passer de modèles de confiance théoriques à des résultats concrets en matière de confiance.
La prochaine étape de l'évolution de la confiance numérique
À mesure que l'écosystème d'identité nord-américain continue de mûrir, l'assurance devient le fondement sur lequel reposent des cadres de confiance plus larges.
Cette évolution commence à donner naissance à une nouvelle génération d’infrastructures d’identité, comprenant notamment les portefeuilles numériques, les identifiants vérifiables et les permis de conduire mobiles. Ces nouveaux modèles visent à rendre les informations d’identité fiables plus facilement transférables d’une organisation à l’autre et d’un cas d’utilisation à l’autre, tout en offrant aux individus un plus grand contrôle sur la manière dont ces informations sont partagées et vérifiées.
Cette perspective est importante. Plutôt que de vérifier sans cesse les mêmes informations au sein de différentes organisations, les identifiants fiables pourraient être réutilisés dans le cadre de multiples interactions et écosystèmes. Cependant, cela soulève également de nouvelles questions concernant l'interopérabilité, la gouvernance, la validation des identifiants et la portabilité des garanties.
L'avenir de l'identité ne dépendra pas uniquement de la capacité des informations à circuler d'un système à l'autre. Il dépendra de plus en plus de la capacité de la confiance à circuler avec elles.
Les organisations qui réussiront seront celles qui comprendront que la confiance n'est ni binaire, ni statique, ni acquise d'emblée. Elle dépend du contexte, est mesurable et fait l'objet d'une évaluation permanente.
Dans le prochain article de blog, nous verrons comment les portefeuilles numériques, les identifiants vérifiables et les permis de conduire mobiles s’imposent comme la nouvelle génération d’infrastructures d’identité, et pourquoi ils pourraient devenir un pilier essentiel des cadres de confiance interopérables à travers l’Amérique du Nord.
Pour en savoir plus, consultez notre série d'articles sur l'identité numérique en Amérique du Nord : «
» Chapitre I: La réalité de l’identité en Amérique du Nord : fragmentée par nature
Chapitre II:Le fossé de l’interopérabilité : là où les systèmes d’identité échouent
Chapitre III: Des normes aux systèmes : pourquoi la mise en œuvre est la partie la plus difficile
Chapitre V : Les nouvelles voies : portefeuilles, identifiants et l’avenir de l’identité axé sur le mobile
Chapitre VI : Instaurer une confiance concrète : les cadres qui définiront l’identité numérique en Amérique du Nord
