Pour un nombre croissant d’États, un compte unique donnant aux résidents accès à l’ensemble des services gouvernementaux n’est plus un simple objectif : il est déjà en place. Certains États indiquent que leurs systèmes de gestion des identités à l’échelle de l’État prennent déjà en charge des millions de comptes de résidents dans des dizaines d’organismes.
Et pourtant, pour de nombreux résidents, les services gouvernementaux en ligne ressemblent encore à un véritable labyrinthe de comptes, de mots de passe et de processus de vérification d’identité qui fonctionnent trop souvent en vase clos. Seulement 13 % des dirigeants principaux de l’information des États affirment avoir entièrement déployé une solution de gestion de l’identité des citoyens, selon le plus récent sondage de la NASCIO auprès des responsables des technologies des États. La plupart des États en sont encore à une étape intermédiaire : leur plateforme est opérationnelle, mais son adoption tarde à suivre.
Le financement compte pour beaucoup. Parmi les dirigeants interrogés par la NASCIO, 70 % citent l’insuffisance du financement comme l’un des principaux obstacles à la mise en place d’une gestion des identités à l’échelle de l’État. Les résidents en ressentent concrètement les effets : un service leur offre une expérience de connexion moderne, tandis que le suivant repose sur un système plus ancien et moins convivial.
Mais le financement n’est que la partie visible d’un problème plus profond. Les organismes doivent encore s’entendre sur qui détient les clés : qui est responsable de la gestion de l’identité, quelles données font autorité et qui doit rendre des comptes en cas de problème. En attendant, les résidents sont les premiers à en ressentir les effets.
Une seule connexion, conçue pour fonctionner partout
La vision qui sous-tend la gestion des identités à l’échelle de l’État est assez simple. Un résident ouvre une session une seule fois, puis peut accéder aux prestations de chômage, à l’immatriculation d’un véhicule ou à l’obtention d’un permis d’entreprise sans avoir à prouver de nouveau son identité pour chaque service. Chaque organisme conserve les règles propres à ses programmes, tandis que la couche d’identité sous-jacente est commune à tous.
Cette couche commune ne se construit pas du jour au lendemain. Elle exige des investissements soutenus, et tous les États n’ont pas encore réussi à obtenir le financement nécessaire. La NASCIO a constaté que de nombreux États disposent déjà d’un service d’identité commun opérationnel, mais que leurs organismes n’y ont pas encore tous entièrement migré. Dans bien des cas, le financement consacré à cette migration n’a pas suivi le rythme des investissements dans la plateforme elle-même.
La porte d’entrée est là. Mais tous les couloirs n’y mènent pas encore.
Il ne s’agit pas véritablement d’un échec de planification. C’est simplement ainsi que les grandes organisations décentralisées ont tendance à se moderniser : progressivement, un organisme et un cycle budgétaire à la fois. En contrepartie, l’expérience des résidents demeure inégale pendant toute la transition.
Certains services sont modernes et fluides. D’autres reposent encore sur un compte créé il y a plusieurs années et rattaché à un système que personne n’est tout à fait prêt à mettre hors service, ou dont le remplacement n’a pas encore été financé.
Rattacher les anciens comptes au nouveau système
Un enjeu que les États soulèvent régulièrement reçoit pourtant peu d’attention à l’extérieur du bureau du dirigeant principal de l’information : qu’advient-il des identités numériques qui existent déjà ?
Tout résident ayant déjà utilisé les services de son État avant l’arrivée de la nouvelle plateforme possède une forme d’empreinte numérique, qu’il s’agisse d’un ancien compte auprès du service des véhicules automobiles (DMV), d’un compte sur un portail de prestations ou d’un identifiant associé à un service de délivrance de permis.
La gestion des identités à l’échelle de l’État n’efface pas cet historique. Il faut rapprocher les comptes existants de la nouvelle identité unifiée. Cette étape est généralement plus longue et plus complexe que la mise en place du nouveau système lui-même, mais elle fait rarement partie des priorités budgétaires dès le départ.
Si cette étape est négligée, la porte d’entrée finit par aller à l’encontre de son propre objectif. Elle devient un nouveau point d’accès moderne qui oblige néanmoins les résidents à créer un compte supplémentaire, ce qui compromet tout l’intérêt de la consolidation.
Renforcer la sécurité sans laisser personne de côté
Il est tout à fait logique de vouloir renforcer la sécurité d’une identité unifiée au moyen de mécanismes de vérification plus rigoureux, comme l’authentification multifacteur, les contrôles liés à l’appareil et la vérification d’identité. C’est toutefois aussi à ce stade que le parcours peut devenir plus difficile pour les personnes que la porte d’entrée numérique est justement censée aider le plus.
Les mécanismes de vérification plus rigoureux supposent souvent que les résidents disposent d’un appareil personnel, d’une connexion fiable et des compétences numériques nécessaires pour mener le processus à terme sans aide. Ce n’est pas le cas de tout le monde, et les recherches de la NASCIO décrivent clairement les conséquences.
Certains résidents abandonnent le processus de création de leur identité numérique en cours de route, n’arrivent plus à accéder à leur compte ou doivent se rabattre sur les appels téléphoniques et les visites en personne — précisément les obstacles que la porte d’entrée numérique visait à éliminer.
C’est l’équilibre que chaque État cherche actuellement à atteindre. Les systèmes d’identité doivent à la fois mieux résister à la fraude et rester faciles à utiliser pour une population dont le degré d’aisance avec les outils numériques varie considérablement.
Garder une longueur d’avance sur des menaces en constante évolution
Le défi lié à l’identité évolue lui aussi, à mesure que les outils utilisés par les attaquants se perfectionnent. Les États ont indiqué à la NASCIO être de plus en plus préoccupés par les identités synthétiques, l’usurpation d’identité facilitée par les hypertrucages, l’utilisation abusive automatisée des comptes et les campagnes d’hameçonnage de plus en plus sophistiquées. Toutes ces menaces exercent une pression accrue sur le processus d’authentification dont dépend la porte d’entrée numérique.
Plutôt que d’en faire une discipline de sécurité entièrement nouvelle, la plupart des États renforcent les outils de vérification d’identité, de prévention de la fraude et de cybersécurité dont ils disposent déjà. Ils y ajoutent notamment l’analyse comportementale, la détection des anomalies et la surveillance continue afin de repérer les activités suspectes au-delà de l’écran de connexion.
Le degré de préparation varie considérablement. Certains États disposent déjà de défenses multicouches qui réunissent les données d’identité, l’analyse de la fraude et les renseignements sur les menaces. D’autres évaluent encore différents outils ou cherchent à déterminer comment gérer à l’interne les menaces liées à l’identité facilitées par l’intelligence artificielle. Plusieurs ont également reconnu ne pas encore disposer de plans d’intervention officiels ni de modèles de gouvernance propres à ce type de risque.
Pour les résidents, cette disparité compte autant que les lacunes en matière de financement ou de migration. Une expérience de connexion sécurisée et fluide auprès d’un organisme peut ne pas l’être autant auprès d’un autre.
Regard vers l’avenir
Une tendance claire se dégage de ces constats. Ce qui apparaît comme un problème lié à l’expérience des résidents trouve souvent son origine dans des questions non résolues de responsabilité, d’autorité et de confiance entre des organismes qui n’ont jamais été conçus, au départ, pour partager les données d’identité d’un même résident.
Combler cet écart n’est donc pas qu’un exercice de conception. C’est aussi un exercice de gouvernance qui doit être mené parallèlement aux décisions relatives à la plateforme, et non après coup.
Le rapport de la NASCIO va également au-delà de l’idée d’un compte unique à l’échelle de l’État. Il s’intéresse aux justificatifs vérifiables et réutilisables, qui pourraient transformer la façon dont l’identité numérique des résidents est utilisée et partagée d’un service à l’autre.
Mais cet avenir dépend d’abord de la maîtrise des éléments fondamentaux. Les États doivent mettre hors service leurs anciens systèmes, assurer un financement durable, établir une gouvernance claire et obtenir l’adhésion des organismes. Pour bon nombre d’entre eux, ce travail est encore bel et bien en cours.
C’est aussi pourquoi la confiance des citoyens compte autant que l’adhésion des organismes. Des recherches récentes sur l’adoption des services gouvernementaux numériques ont révélé que 80 % des citoyens affirment avoir confiance dans les mesures de protection qui sous-tendent les services gouvernementaux numériques lorsque le chiffrement robuste et l’authentification multifacteur font clairement partie de l’expérience.
Ce constat rappelle que les décisions de gouvernance prises en coulisses façonnent la confiance du public tout autant que l’interface que les résidents voient réellement.
C’est précisément là qu’une couche de gestion des identités et des accès des citoyens conçue expressément à cette fin prend toute sa valeur. Une plateforme comme CitizenOne est conçue pour gérer cette complexité de façon centralisée. Elle réunit les citoyens et les fournisseurs de services au moyen d’un point d’entrée unique et de justificatifs vérifiables, afin que les résidents n’aient pas à gérer un profil, un mot de passe et un processus de vérification différents pour chaque organisme avec lequel ils interagissent.
Elle leur donne également un meilleur contrôle sur l’utilisation de leurs renseignements, tout en aidant les organismes à se prémunir contre les risques de sécurité découlant de la fragmentation et de la multiplication des systèmes d’identité existants.
En y intégrant la vérification à haut niveau d’assurance de CertifiO ID, adaptée au niveau de risque de chaque transaction plutôt qu’appliquée uniformément, les États peuvent renforcer les contrôles là où ils sont le plus nécessaires sans compliquer inutilement les autres interactions.
À mesure que les tactiques de fraude décrites précédemment évoluent, cette combinaison d’une base d’identité unifiée et d’une vérification adaptée au risque permet aux mécanismes de défense de suivre le rythme plutôt que de devoir sans cesse rattraper leur retard.
La porte d’entrée ne peut véritablement offrir une expérience unifiée que si le travail effectué en coulisses — notamment la migration, le rapprochement des comptes, la conception des accès et la prévention de la fraude — l’est également.