L'avenir ne réside pas dans un système d'identité unique
Au fil de cette série, nous avons examiné l'évolution de l'identité numérique en Amérique du Nord : des processus fragmentés de vérification d'identité aux identifiants réutilisables, des opérations d'authentification isolées aux écosystèmes numériques de confiance. Tout au long de cette réflexion, un thème est revenu sans cesse : l'avenir de l'identité numérique ne consiste plus tant à prouver l'identité d'une personne qu'à créer des moyens fiables d'échanger des informations entre les organisations.
Nos précédents articles de blog ont abordé deux évolutions majeures qui façonnent cet avenir. Tout d’abord, nous avons examiné comment les cadres de confiance fournissent la gouvernance nécessaire pour que des organisations indépendantes puissent s’appuyer en toute confiance sur les identifiants numériques les unes des autres. Nous avons ensuite étudié comment les permis de conduire mobiles (mDL) constituent le premier déploiement à grande échelle de ces concepts, démontrant ainsi comment des identifiants fiables peuvent être émis, stockés, présentés et vérifiés en toute sécurité dans le monde réel. Ensemble, ces évolutions laissent entrevoir une transformation bien plus vaste qui commence tout juste à prendre forme.
L'avenir ne sera pas défini par un seul portefeuille numérique, un fournisseur d'identité dominant ou un identifiant universel. Il s'articulera plutôt autour de cadres de confiance interopérables permettant à de nombreux acteurs, tant publics que privés, d'échanger des informations fiables de manière sécurisée, cohérente et à grande échelle. Pour l'Amérique du Nord, cette approche décentralisée devrait constituer un avantage concurrentiel plutôt qu'une contrainte.
Les permis de conduire sur mobile ont fait leurs preuves
Une grande partie du débat autour des permis de conduire mobiles s’est naturellement concentrée sur le remplacement d’un titre physique par un titre numérique. Pourtant, la véritable portée des permis de conduire mobiles va bien au-delà du permis de conduire lui-même. Ils ont démontré que des titres faisant autorité peuvent être délivrés par un organisme de confiance, stockés en toute sécurité par les particuliers et vérifiés par des organismes totalement différents, sans qu’il soit nécessaire que chaque acteur évolue au sein du même écosystème propriétaire.
Cette fonctionnalité, en apparence simple, change la donne. Plutôt que de se demander comment numériser un permis de conduire, les organisations commencent à se demander quels autres titres de légitimité fiables pourraient suivre ce même modèle. Les licences professionnelles, les titres de légitimité des employés, les dossiers médicaux, les diplômes, les autorisations, les attestations financières et d’innombrables autres titres de légitimité peuvent tous s’appuyer sur la même architecture sous-jacente. Le « portefeuille » devient moins important que l’écosystème qui permet aux titres de légitimité fiables de circuler en toute sécurité entre les participants.
Mais surtout, les mDL ont démontré que l’interopérabilité est réalisable. Les organismes publics, les fournisseurs de technologies, les parties utilisatrices et les organismes de normalisation jouent chacun un rôle distinct, mais l’écosystème fonctionne parce qu’ils partagent des spécifications techniques communes et des principes de fonctionnement convenus. Ce schéma deviendra très certainement le modèle de référence pour la prochaine génération d’écosystèmes d’identité numérique.
C'est la gouvernance qui permet de transformer la technologie en confiance
Comme nous l'avons évoqué dans le blog n° 4, la technologie à elle seule ne suffit pas à instaurer la confiance. La cryptographie protège les identifiants. Les normes définissent les formats de données. Les appareils préservent les clés privées. Bien que chacune de ces fonctionnalités soit essentielle, elles n'apportent qu'une réponse partielle au problème.
Les organisations doivent également pouvoir avoir confiance dans les règles qui régissent l'écosystème lui-même. Qui est habilité à délivrer des identifiants ? Quel niveau de garantie d'identité chaque identifiant représente-t-il ? Comment les identifiants sont-ils suspendus ou révoqués ? Qui assume la responsabilité en cas de perte de confiance ? Comment les litiges sont-ils résolus ? La technologie ne suffit pas à elle seule à répondre à ces questions. Elles nécessitent une gouvernance.
C’est précisément pour cette raison que les cadres de confiance prennent une importance cruciale au sein des écosystèmes d’identité numérique. Ils définissent les politiques, les règles de fonctionnement, les modèles d’assurance et les structures de responsabilité qui permettent à des organisations indépendantes de se faire confiance mutuellement en matière d’identifiants. Sans gouvernance, l’interopérabilité ne reste guère plus qu’une possibilité technique. Avec la gouvernance, l’interopérabilité devient une réalité opérationnelle.
Un écosystème fondé sur la collaboration
Le paysage de l'identité en Amérique du Nord ne devrait pas ressembler aux modèles d'identité numérique centralisés qui voient le jour dans certaines régions d'Europe ou d'Asie. Il continuera plutôt à évoluer grâce à la collaboration entre les organismes publics, les institutions financières, les prestataires de soins de santé, les opérateurs de télécommunications, les plateformes technologiques, les organismes de normalisation et les entreprises. Chaque acteur apporte des capacités et des responsabilités qui lui sont propres, et aucun ne peut à lui seul assurer le fonctionnement de l'ensemble de l'écosystème.
Ce modèle collaboratif n’est pas nouveau. Le secteur des paiements s’est attaché, depuis des décennies, à mettre en place des réseaux interopérables au sein desquels des acteurs indépendants opèrent selon des normes communes, une gouvernance partagée et une certification indépendante. L’identité numérique suit aujourd’hui une voie remarquablement similaire. Plutôt que de se substituer aux institutions existantes, les cadres de confiance leur permettent de collaborer tout en préservant la concurrence, l’innovation et le choix des consommateurs.
La fiabilité doit faire l'objet d'une validation indépendante
À mesure que les écosystèmes deviennent de plus en plus interconnectés, on ne peut plus considérer l’interopérabilité comme acquise simplement parce que les organisations affirment se conformer à la même norme. L’expérience acquise dans les secteurs des paiements, de la cybersécurité et d’autres secteurs fortement réglementés montre que les spécifications techniques ne déploient pleinement leur potentiel que lorsqu’elles s’appuient sur des tests rigoureux, une certification et une assurance indépendante.
Le même principe s'applique à l'identité numérique. Les émetteurs doivent avoir l'assurance que les identifiants qu'ils produisent seront interopérables entre plusieurs portefeuilles et environnements de vérification. Les parties de confiance doivent avoir l'assurance que les identifiants qui leur sont présentés sont conformes aux spécifications convenues. Les consommateurs s'attendent à ce que les identifiants fonctionnent de manière cohérente, quel que soit l'endroit où ils sont présentés. Les tests et la certification indépendants apportent la confiance nécessaire pour faire de l'interopérabilité non plus une simple aspiration, mais un élément sur lequel les organisations peuvent compter en production.
Pour en savoir plus, consultez notre série d'articles de blog consacrée à l'identité numérique en Amérique du Nord :«
» (L'identité numérique en Amérique du Nord), chapitre I: La réalité de l’identité en Amérique du Nord : fragmentée par nature
Chapitre II:Le fossé de l’interopérabilité : quand les systèmes d’identité tombent en panne
Chapitre III:Des normes aux systèmes : pourquoi la mise en œuvre est la partie la plus difficile
Chapitre IV : L’assurance dans la pratique : comment faire réellement confiance à une identité ?
Chapitre V : Les nouvelles voies : portefeuilles, identifiants et l’avenir de l’identité axé sur le mobile
