Base d’identité : sécuriser et contrôler les accès
Un registre d'état civil, une base biométrique ou un référentiel de citoyens est une cible de choix. La sécurité tient moins à un produit qu'à une discipline d'accès, de traçabilité et de revue.
Une base d’identité (registre d’état civil, répertoire des habitants, référentiel biométrique) réunit des informations qui permettent d’usurper, de surveiller ou d’exclure. Sa sécurisation est donc un sujet de gouvernance autant que de technique. Ce guide pose les principes de contrôle d’accès qui s’appliquent à ce type de système, quels que soient le pays et la technologie.
Partir des rôles, pas des personnes
Dressez la liste des fonctions réelles qui touchent la base : agent de saisie, officier d’état civil, contrôleur, administrateur technique, auditeur, service statistique. Pour chaque fonction, définissez ce qu’elle voit, ce qu’elle modifie et ce qu’elle ne peut absolument pas faire. C’est le principe du moindre privilège : donner le strict nécessaire à la tâche. On attribue ensuite des rôles aux personnes, jamais des droits un par un, ce qui rend les revues possibles.
Les mesures de base
- Authentification forte Double facteur pour tous les comptes, et pour les comptes d’administration un moyen résistant à l’hameçonnage.
- Séparation des tâches Celui qui crée une modification n’est pas celui qui la valide. Un administrateur technique n’a pas accès aux données métier en clair par défaut.
- Chiffrement Au repos et en transit, avec des clés gérées à part, dans un module dédié si possible.
- Journalisation Chaque consultation, création, correction et export, avec l’identité, l’heure et l’objet concerné.
- Limitation des exports Les extractions massives sont rares, validées, tracées et chiffrées.
La journalisation n’a de valeur que si on la lit
Des journaux qu’on ne consulte pas ne protègent rien. Définissez les motifs qui déclenchent une alerte : consultation d’un dossier hors de la zone de l’agent, nombre de recherches anormal, accès en dehors des horaires, consultation d’une personnalité ou d’un proche de l’agent. Désignez qui traite l’alerte et dans quel délai. Conservez les journaux à l’abri des administrateurs qu’ils surveillent.
Les incidents les plus fréquents sur les bases de population viennent d’agents autorisés qui consultent sans motif, ou de comptes partagés. Interdisez les comptes partagés et rappelez, par écrit et en formation, que chaque consultation est tracée.
Le cycle de vie des accès
- Création de compte sur demande validée par le responsable et le propriétaire du système
- Modification immédiate à chaque changement de poste
- Suppression le jour du départ, vérifiée par un rapprochement avec la liste du personnel
- Revue annuelle des droits par chaque responsable, avec preuve de la revue
- Revue trimestrielle des comptes à privilèges
Cadre et références
Ces mesures rejoignent les contrôles d’accès de la norme ISO/IEC 27001 et les principes du RGPD ou des lois nationales de protection des données : minimisation, limitation des finalités, sécurité des traitements. Les travaux de l’initiative ID4D de la Banque mondiale rappellent que la confiance du public dans un système d’identité dépend de ses garanties de protection des données. Voir nos travaux sur l’identité numérique et la solution état civil numérique.
Pour approfondir : État civil
Questions fréquentes
Faut-il chiffrer toute la base ?
Oui pour les données sensibles, au repos comme en transit, avec une gestion des clés séparée des données. Le chiffrement ne remplace pas le contrôle d'accès : un utilisateur légitime voit les données déchiffrées.
À quelle fréquence revoir les droits d'accès ?
Au moins une fois par an pour l'ensemble, plus souvent pour les comptes à privilèges, et à chaque changement de poste ou départ.
Comment détecter un usage abusif ?
Par l'analyse des journaux : consultations hors horaires, volumes inhabituels, recherches sur des personnes sans dossier en cours. Des alertes sur ces motifs, traitées par une personne désignée, sont essentielles.