Auditer un système d’identité : la grille d’évaluation
Un audit de système d'identité ne se limite pas à la sécurité informatique. Il demande qui est inscrit, qui ne l'est pas, ce que vaut chaque identité et qui en répond. Voici une grille en six axes, avec les questions à poser.
Que vaut un système d’identité ? La réponse habituelle parle de cartes délivrées, de serveurs et de biométrie. Elle oublie l’essentiel : les personnes qui n’y figurent pas, les identités en double, les services qui ne savent pas s’y fier. Un audit sérieux, en matière d’identité numérique (audit d’un registre, d’un état civil ou d’un identifiant), regarde le système comme ses usagers et ses utilisateurs le voient, puis seulement comme ses ingénieurs.
La grille proposée ici s’inspire des principes sur l’identification pour le développement durable, soutenus par l’initiative ID4D de la Banque mondiale, et des référentiels de niveaux de garantie couramment utilisés. Elle s’applique à un registre national, à un système d’état civil numérisé ou à une identité numérique utilisée pour l’accès aux services.
Préparer l’audit
Avant d’ouvrir la grille, trois points se règlent avec le commanditaire. Le périmètre : registre de population, état civil, carte d’identité, identifiant numérique, ou leur ensemble. L’accès : aux bases (sous forme anonymisée si besoin), aux textes, aux contrats, aux centres d’enrôlement. L’indépendance : l’équipe d’audit ne doit dépendre ni de l’exploitant ni du fournisseur de la solution.
La grille en six axes
| Axe | Questions principales | Preuves attendues |
|---|---|---|
| 1. Couverture et inclusion | Qui est inscrit ? Qui ne l’est pas, et pourquoi ? Les naissances sont-elles enregistrées dans les délais ? | Comparaison avec les données de recensement, taux d’enregistrement des naissances, enquêtes auprès des populations éloignées |
| 2. Fiabilité des données | Combien de doublons ? Combien de personnes décédées encore actives ? Comment une erreur est-elle corrigée ? | Tests de dédoublonnage sur échantillon, rapprochement avec l’état civil, délai moyen de correction |
| 3. Protection et sécurité | Quelle base légale ? Qui accède à quoi ? Les accès sont-ils tracés et contrôlés ? | Textes applicables, matrice des droits, journaux d’accès, résultats de tests d’intrusion |
| 4. Interopérabilité | Les services publics et privés peuvent-ils vérifier une identité sans copier la base ? Avec quels formats ? | Interfaces documentées, volumes de vérifications, normes utilisées |
| 5. Gouvernance | Qui est responsable ? Existe-t-il une autorité de contrôle indépendante ? Les usagers ont-ils un recours ? | Organigramme, textes, rapports de l’autorité de protection des données, procédure de réclamation |
| 6. Soutenabilité | Le système dépend-il d’un seul fournisseur ? Qui maîtrise le code et les données ? Le coût récurrent est-il financé ? | Contrats, clauses de réversibilité, budget pluriannuel, compétences internes |
Couverture : commencer par les absents
Un système qui couvre 95 % de la population peut exclure précisément ceux qui ont le plus besoin d’une identité pour accéder aux aides, à l’école ou aux soins : populations rurales éloignées, personnes déplacées, femmes dont les naissances n’ont pas été déclarées. L’audit doit chercher où se trouvent les 5 % manquants. Les chiffres agrégés ne suffisent pas ; il faut des entretiens dans les zones où l’enregistrement est le plus faible.
Fiabilité : tester plutôt que demander
Le taux de doublons annoncé par l’exploitant est une information, pas une preuve. Un test sur échantillon, avec rapprochement des données biographiques et, si le cadre légal le permet, biométriques, donne une estimation indépendante. Le rapprochement avec les registres de décès révèle souvent des identités actives qui ne devraient plus l’être.
Protection : la base légale avant le chiffrement
Un système bien chiffré peut collecter trop, conserver trop longtemps ou partager sans fondement. L’audit vérifie que chaque donnée collectée a un usage prévu par un texte, que la durée de conservation est fixée et que les vérifications d’identité par des tiers ne leur donnent pas accès à plus que nécessaire.
Une vérification bien conçue répond « oui » ou « non » à une question précise. Elle ne renvoie pas la fiche complète de la personne.
Conduire les travaux
- Analyse documentaire : textes, contrats, architecture, rapports précédents.
- Entretiens avec l’exploitant, les services utilisateurs, l’autorité de protection des données, des organisations de la société civile.
- Visites de terrain dans des centres d’enrôlement choisis pour leur diversité, pas pour leur bon fonctionnement.
- Tests : dédoublonnage sur échantillon, revue des droits d’accès, essai de vérification par une interface, revue des journaux.
- Restitution des constats à l’exploitant avant le rapport final, pour corriger les erreurs factuelles.
Restituer : classer les écarts
Le rapport classe chaque écart selon sa gravité (atteinte aux droits des personnes, risque de fraude, risque de rupture de service, amélioration souhaitable) et propose un ordre de traitement. Un écart d’inclusion qui prive une partie de la population de l’accès aux services passe avant une amélioration technique. Chaque recommandation désigne un responsable et un délai réaliste.
Pour les autorités qui préparent une modernisation de l’état civil ou de l’identité, l’audit est souvent le meilleur point de départ : il fixe la situation de référence. La page identité numérique présente la façon dont DOSOBE aborde ces travaux, et le dossier de référence sur l’identité numérique en donne le cadre général.
- Le périmètre, l’accès aux données et l’indépendance sont fixés par écrit.
- Les six axes sont couverts, chacun avec des preuves.
- Les zones de faible enregistrement ont été visitées.
- Les chiffres de l’exploitant ont été vérifiés par un test indépendant.
- Les écarts sont classés et chaque recommandation a un responsable.
Questions fréquentes
Qui doit commander un audit de système d'identité ?
L'autorité qui en a la responsabilité légale : ministère de l'Intérieur, agence d'identité ou d'état civil selon les pays. L'audit gagne à être conduit par une équipe indépendante de l'exploitant et du fournisseur de la solution.
Combien de temps dure un audit ?
Cela dépend de la taille du système et de l'accès aux données. Pour un système national, compter plusieurs semaines de travail, dont une part importante sur le terrain, dans les centres d'enrôlement et auprès des services qui utilisent l'identité.
Existe-t-il des référentiels internationaux ?
Oui. Les principes sur l'identification pour le développement durable, portés par l'initiative ID4D de la Banque mondiale et de nombreux partenaires, servent souvent de cadre. Pour les niveaux de garantie de l'authentification, on s'appuie sur la norme ISO/IEC 29115, le règlement eIDAS en Europe ou les lignes directrices NIST SP 800-63.