Dans le monde actuel, où le numérique occupe une place prépondérante, les organismes du secteur public sont soumis à une pression croissante pour fournir un accès transparent, sécurisé, privé et convivial aux services numériques. Les citoyens attendent des plateformes gouvernementales la même facilité d'utilisation que celle dont ils bénéficient avec les services commerciaux, sans compromettre la confidentialité ou la sécurité. C'est là qu'intervient la gestion des identités et des accès clients (CIAM).
Choisir la meilleure solution CIAM pour le secteur public ne se résume pas simplement à comparer des listes de fonctionnalités. Ça nécessite une compréhension approfondie des besoins de votre organisation, des attentes de vos utilisateurs et de l'environnement réglementaire complexe dans lequel vous évoluez.
Que vous en soyez aux premières étapes de la planification ou que vous soyez en train de sélectionner des fournisseurs potentiels, poser les bonnes questions peut faire toute la différence.
Dans cet article, nous avons compilé 100 questions essentielles pour vous guider dans votre processus décisionnel, couvrant des sujets variant de la sécurité et la conformité à l'expérience utilisateur et l'évolutivité. Utilisez cette liste comme checklist stratégique afin de vous assurer que votre investissement en CIAM soutient à la fois votre mission et les personnes qui en dépendent.
100 questions pour un appel d'offres CIAM
Informations générales et profil du fournisseur
- Présentez brièvement l'historique de votre entreprise, notamment depuis combien de temps elle existe et ses domaines d'activité.
- Décrivez votre expérience en matière de mise en œuvre de CIAM dans le secteur public.
- Donnez des exemples d'anciens clients du secteur public ou gouvernemental qui utilisent votre solution.
- Qu'est-ce qui différencie votre solution CIAM de celles de vos concurrents ?
- Comment votre solution répond-elle aux besoins spécifiques du secteur public en matière de sécurité et de conformité ?
- Donnez des détails sur votre modèle d'assistance à la clientèle, y compris les accords de niveau de service (SLA).
- Disposez-vous d'une communauté d'utilisateurs active et de forums d'assistance ?
- Fournissez les références d'au moins trois clients du secteur public.
- À quelle fréquence votre plateforme est-elle mise à jour et quel est votre processus de mise à niveau ?
- Quels services professionnels proposez-vous pour la mise en œuvre, la personnalisation et le service à la clientèle ?
Fonctionnalités de gestion des identités et des accès
- Votre solution prend-elle charge les identités des citoyens et des entités commerciales ?
- Décrivez les mécanismes d'authentification de votre solution, y compris l'authentification multifactorielle (MFA), l'authentification sans mot de passe et l'authentification adaptative.
- Votre solution prend-elle en charge l'authentification unique (SSO) sur plusieurs applications gouvernementales ?
- Comment votre solution gère-t-elle la gestion fédérée des identités ?
- Quelles méthodes de vérification d'identité votre solution prend-elle en charge (par exemple, vérification de documents, authentification biométrique) ?
- Comment votre solution gère-t-elle l'approvisionnement des utilisateurs et la suppression des comptes ?
- Votre solution peut-elle s'intégrer à d'autres cadres d'identité numérique émis par les pouvoirs publics ?
- Comment votre système prend-il en charge les options de connexion via les réseaux sociaux (par exemple, connexions via des tiers) ?
- Votre solution CIAM peut-elle gérer à la fois les citoyens et les entités commerciales au sein de la même plateforme ?
- Comment votre système gère-t-il la récupération de compte et la réinitialisation de mot de passe en libre-service ?
Sécurité et conformité
- Expliquez les certifications associées à votre plateforme.
- Comment votre solution garantit-elle la conformité avec le RGPD, le CCPA et les autres réglementations en matière de confidentialité ?
- Votre solution prend-elle en charge le contrôle d'accès basé sur les attributs (ABAC) ?
- Comment protégez-vous les identifiants des utilisateurs et les informations personnelles identifiables (PII) ?
- Comment votre solution détecte-t-elle et atténue-t-elle les risques de fraude d'identité ?
- Quelles sont les fonctionnalités de journalisation et d'audit disponibles avec votre solution ?
- Votre solution fournit-elle une surveillance et des alertes de sécurité en temps réel ?
- Comment gérez-vous le chiffrement des données en transit et au repos ?
- Comment votre solution CIAM empêche-t-elle l'usurpation d'identité et le piratage de comptes ?
- Décrivez comment votre solution gère les menaces internes et les tentatives d'accès non autorisées.
Évolutivité et performances
- Comment votre solution gère-t-elle simultanément des millions d'utilisateurs ?
- Quelle est la disponibilité moyenne de votre plateforme et quelles sont les garanties SLA?
- Votre solution CIAM prend-elle en charge la haute disponibilité et la reprise après sinistre?
- Décrivez l'architecture de votre système : native en nuage (ou « cloud-native »), sur site ou hybride.
- Comment votre solution gère-t-elle les sessions et la mise à l'échelle lors des pics de trafic ?
- Votre système peut-il s'adapter dynamiquement au trafic en période de demande accrue?
- Avec quels fournisseurs de nuage informatique travaillez-vous pour fournir votre solution?
- Comment votre système optimise-t-il les performances des API et minimise-t-il la latence?
- Comment votre solution garantit-elle la redondance en cas de panne du système ?
- Proposez-vous un réseau mondial de diffusion de contenu (CDN) pour améliorer les performances ?
Expérience utilisateur et accessibilité
- Comment votre solution garantit-elle une expérience utilisateur fluide et sans friction ?
- Les utilisateurs peuvent-ils personnaliser leurs informations de profil et leurs préférences en matière de confidentialité ?
- Votre système prend-il en charge l'authentification adaptative afin d'équilibrer sécurité et convivialité ?
- Votre solution CIAM est-elle accessible conformément aux normes WCAG 2.1 ?
- Comment gérez-vous la prise en charge multilingue pour les divers utilisateurs du secteur public ?
- Les utilisateurs peuvent-ils s'authentifier à l'aide de documents d'identité délivrés par le gouvernement ?
- Votre système prend-il en charge les portefeuilles numériques et les applications de vérification d'identité ?
- Comment votre solution optimise-t-elle les processus de connexion et d'inscription ?
- Les utilisateurs peuvent-ils gérer leurs préférences en matière de consentement et de partage des données ?
- Votre solution CIAM offre-t-elle des options de marque blanche pour assurer la cohérence de l'image de marque ?
Intégration et interopérabilité
- Quelles API et SDK sont disponibles pour l'intégration avec les applications existantes du secteur public ?
- Votre solution prend-elle en charge l'intégration avec les systèmes IAM existants ?
- Votre plateforme CIAM peut-elle s'intégrer à des moteurs tiers de détection des fraudes et de gestion des risques ?
- Votre système prend-il en charge OpenID Connect, SAML et OAuth 2.0 ?
- Votre système peut-il être déployé dans un environnement hybride ou à nuages multiples?
- Comment votre solution s'intègre-t-elle aux systèmes de gestion des dossiers du secteur public ?
- Le système peut-il s'intégrer aux bases de données gouvernementales de vérification d'identité ?
- Comment prenez-vous en charge l'intégration avec les applications mobiles ?
- Votre solution CIAM prend-elle en charge les options d'intégration à programmation schématisée ou sans code (« low-code » ou « no-code ») ?
- Votre plateforme peut-elle s'intégrer à Microsoft Active Directory et Azure AD ?
Prévention de la fraude et gestion des risques
- Comment votre solution détecte-t-elle les comportements de connexion anormaux et y répond-elle ?
- Quels mécanismes de vérification d'identité fournissez-vous ?
- Votre solution peut-elle tirer parti de l'IA et de l’apprentissage machine (« machine learning ») pour la détection des fraudes ?
- Votre solution prend-elle en charge l'authentification basée sur les risques ?
- Comment gérez-vous la prévention des attaques par bourrage d’identifiants (« credential stuffing ») et par force brute ?
- Votre système peut-il s'intégrer à des flux de renseignements sur les menaces provenant de tiers ?
- Comment votre plateforme empêche-t-elle la fraude par identité synthétique ?
- Les utilisateurs peuvent-ils être tenus de vérifier leur identité périodiquement pour les applications à haut risque ?
- Votre système fournit-il des pistes d'audit pour les enquêtes sur les fraudes ?
- Comment votre solution gère-t-elle les attaques automatisées par des bots sur les pages de connexion et d'inscription ?
Confidentialité des données et gestion du consentement des utilisateurs
- Comment votre solution gère-t-elle le consentement des utilisateurs et la gestion des préférences ?
- Les utilisateurs peuvent-ils demander la suppression de leurs données ou exporter leurs données personnelles ?
- Votre système prend-il en charge le consentement granulaire pour différents cas d'utilisation du partage de données ?
- Comment garantissez-vous la conformité avec les lois en constante évolution en matière de confidentialité des données ?
- Quels outils sont à la disposition des organismes du secteur public pour gérer le consentement des citoyens ?
- Comment gérez-vous l'anonymisation et la pseudonymisation des données ?
- Les administrateurs peuvent-ils appliquer la révocation du consentement sur plusieurs systèmes ?
- Comment gérez-vous la souveraineté des données pour les organismes gouvernementaux ?
- Les utilisateurs peuvent-ils contrôler les services tiers qui accèdent à leurs données ?
- Comment votre plateforme prend-elle en charge le « droit à l'oubli » ?
Administration et analyse
- Quels types de rôles et d'autorisations administratives sont disponibles ?
- Comment les administrateurs surveillent-ils l'activité des utilisateurs et les événements de sécurité ?
- Votre solution fournit-elle des analyses en temps réel sur les événements d'authentification ?
- Les administrateurs peuvent-ils configurer des politiques personnalisées pour l'authentification et l'accès ?
- Quels types de rapports et de tableaux de bord sont disponibles ?
- Comment votre solution gère-t-elle les journaux d'audit et les rapports de conformité ?
- Votre plateforme peut-elle détecter et répondre aux menaces de sécurité en temps réel ?
- Proposez-vous des fonctionnalités automatisées de contrôle d'accès basé sur les risques ?
- Comment votre système prend-il en charge la corrélation et la réponse aux événements de sécurité ?
- Les administrateurs peuvent-ils personnaliser les flux de travail d'authentification ?
Tarification et licences
- Quel est votre modèle de tarification : abonnement, par utilisateur, par transaction ?
- Y a-t-il des coûts supplémentaires pour les fonctionnalités d'authentification avancées ?
- Proposez-vous une tarification échelonnée en fonction du nombre d'utilisateurs ?
- Quelles sont les options de licence pour les organismes gouvernementaux ?
- Comment gérez-vous la tarification en cas de pics saisonniers ou temporaires du volume d'utilisateurs ?
- Des remises sont-elles accordées pour les contrats pluriannuels ou les bases d'utilisateurs importantes ?
- Y a-t-il une différence de coût entre les déploiements dans le nuage sur site et hybrides ?
- Proposez-vous des licences flexibles pour les différents services du secteur public ?
- Y a-t-il des frais supplémentaires pour les audits de conformité ou les rapports réglementaires ?
- Quelles sont les pénalités en cas de résiliation anticipée du contrat ?
Portage CitizenOne CIAM pour le secteur public
CitizenOne est une solution CIAM conçue pour répondre aux besoins spécifiques du secteur public.
CitizenOne regroupe tous les services dans un tableau de bord convivial et exploite des fonctionnalités puissantes pour simplifier l'expérience utilisateur et garantir la conformité aux obligations en matière de confidentialité et de sécurité des données.
Grâce à une connexion sécurisée unique, les citoyens peuvent facilement trouver et s'abonner à des services, tandis que ses capacités de configuration en libre-service permettent de regrouper et de fournir rapidement et facilement des services via le canal numérique, avec une sécurité sans précédent.