Ligne directrice sur la définition des exigences en matière d’authentification

La présente Ligne directrice est destinée aux utilisateurs suivants :

• les gestionnaires de programmes et de prestation des services qui ont la responsabilité d’identifier et d’authentifier les clients du gouvernement du Canada (particuliers et entreprises) dans le cadre des exigences de leurs programmes ou de la prestation de leurs services. La présente Ligne directrice peut être utilisée pour évaluer les préjudices afin de déterminer les exigences normalisées quant au niveau d’assurance.
  
  
• les praticiens de la TI et de la sécurité qui ont la responsabilité de recommander, de concevoir, d’élaborer et de fournir des solutions d’authentification qui répondent aux exigences des programmes. Les évaluations et les exigences quant au niveau d’assurance déterminées par les ministères peuvent être utilisées dans le cadre du processus de conception et de recommandation technique.

La présente Ligne directrice s’applique aux systèmes (financiers et non financiers), aux services ou aux programmes où il existe un risque de préjudice aux utilisateurs, aux clients, aux ministères ou à l’ensemble du gouvernement du Canada, en raison d’une utilisation inappropriée ou illégale (intentionnelle ou non). Ce risque comprend entre autres l’atteinte à la vie privée, la divulgation non autorisée de renseignements personnels ou de renseignements de nature délicate et l’exécution non autorisée d’opérations financières.

La présente Ligne directrice peut être utilisée pour aider à l’analyse de processus opérationnels (manuels ou automatisés) qui comprennent une composante d’authentification. Par exemple, une visite en personne qui exige que le client soit authentifié avant la réception du service.

La présente Ligne directrice peut aussi être utilisée pour élaborer des exigences ou critères normalisés au moyen des niveaux d’assurance, par exemple, les exigences en matière d’assurance de l’identité, les exigences en matière d’assurance (intégrité) des documents, les exigences de vérification et les exigences en matière d’éléments de preuve.

La présente Ligne directrice ne recommande pas de mettre en œuvre des technologies en particulier pour le processus d’authentification. Pour obtenir de plus amples renseignements pouvant être utilisés conjointement avec la présente Ligne directrice, veuillez consulter la section Documents et outils connexes.

La présente Ligne directrice ne donne pas de directives particulières sur tous les scénarios d’authentification possibles. Elle présente plutôt un cadre pour l’analyse des exigences en matière d’authentification et pour la détermination des principales décisions devant être prises en considération par les gestionnaires.

La présente Ligne directrice ne s’applique pas aux décisions d’autorisation ou de versement. Ces décisions sont habituellement prises indépendamment du processus d’authentification; les ministères doivent les considérer séparément.

La présente Ligne directrice ne traite pas des questions liées à l’utilisation de signatures électroniques, y compris les signatures numériques et les signatures électroniques sécurisées. Ces questions sont traitées dans la Loi sur la protection des renseignements personnels et les documents électroniques, la Loi sur la preuve au Canada, le Règlement sur les signatures électroniques sécurisées et les documents d’orientation connexes.

Voici certains termes utilisés dans la présente Ligne directrice, tels que définis dans la Norme. La Norme donne la liste complète des termes et définitions.

Assurance

certain niveau de certitude quant à la véracité d’une déclaration ou d’un fait.

Niveau d’assurance

Un niveau de confiance sur lequel d’autres peuvent s’appuyer.^{Note en bas de page 3}

Authentification

Le processus d’établissement de la vérité ou de l’authenticité en vue de la génération d’une assurance.^{Note en bas de page 4}

Partie ayant autorité

Un membre d’une fédération qui donne des assurances (du justificatif ou de l’identité) à d’autres membres (parties utilisatrices).

Source faisant autorité

collection ou un registre de dossiers tenu par une autorité qui satisfait aux critères établis.

Justificatif

Un unique objet (ou identificateur) physique ou électronique délivré ou associé à une personne^{Note en bas de page *}, un organisme ou un appareil.

Assurance du justificatif

L’assurance qu’une personne^{Note en bas de page *}, un organisme ou un appareil a conservé le contrôle sur l’élément qui lui a été confié (p. ex., une clé, un jeton, un document, un identificateur) et que le justificatif n’a pas été compromis (p. ex., altéré, corrompu, modifié).

Niveau d’assurance du justificatif

niveau de confiance avec lequel on peut affirmer qu’une personne^{Note en bas de page *}, un organisme ou un appareil a conservé le contrôle sur l’élément qui lui a été confié (p. ex., une clé, un jeton, un document, un identificateur) et que le justificatif n’a pas été compromis (p. ex., altéré, corrompu, modifié).

Fédération

Une entente de collaboration entre des entités autonomes qui ont accepté de travailler de concert. La fédération repose sur des relations et des normes de confiance à l’appui de son interopérabilité.

Identité

Une référence ou désignation servant à distinguer une personne^{Note en bas de page *}, un organisme ou un appareil unique et particulier.

Assurance de l’identité

Un niveau de certitude qu’une personne^{Note en bas de page *}, un organisme ou un appareil est la personne, l’organisme ou l’appareil qu’il prétend être.

Niveau d’assurance de l’identité

niveau de confiance avec lequel on peut affirmer qu’une personne^{Note en bas de page *}, un organisme ou un appareil est la personne, l’organisme ou l’appareil qu’il prétend être.

Gestion de l’identité

L’ensemble de principes, de pratiques, de processus et de procédures permettant à une organisation de remplir son mandat et d’atteindre ses objectifs liés à l’identité.

Risque lié à l’identité

Le risque qu’une personne^{Note en bas de page *}, un organisme ou un appareil ne soit pas la personne, l’organisme ou l’appareil qu’il prétend être.

Partie utilisatrice

Un membre d’une fédération qui se fie aux assurances (de justificatif ou d’identité) d’autres membres (parties ayant autorité).

L’authentification est le « processus d’établissement de la véracité ou de l’authenticité à des fins de production d’assurance ». Cette définition est générique et reflète le fait que l’authentification est un vaste concept qui peut englober de nombreux aspects. Dans la plupart des cas, les exigences en matière d’authentification et les processus connexes sont définis dans le contexte d’une exigence de programme ou d’une solution technologique. Même si ces définitions et exigences conviennent dans leurs contextes particuliers, il peut être difficile de les appliquer horizontalement à de nombreux contextes différents, et le recours à une composante ou un service normalisé pourrait convenir davantage.

En 2008, le gouvernement du Canada a lancé l’Initiative de renouvellement de l’authentification électronique pour énoncer une vision et élaborer une stratégie pour passer à une architecture fédérée fondée sur des normes qui permettrait l’utilisation d’autres justificatifs externes au gouvernement.

En 2009, le document Fédérer la gestion de l’identité au gouvernement du Canada : Une mise en contexte a été mis au point. Ce document décrit la vision du gouvernement fédéral à l’égard de la fédération de la gestion de l’identité pour élaborer des services d’authentification en ligne de prochaine génération. Cette vision, de concert avec la Directive sur la gestion de l’identité du Secrétariat du Conseil du Trésor du Canada, donne l’orientation pour élaborer d’autres instruments de politique et mettre en œuvre des solutions technologiques.

La présente Ligne directrice est conçue pour mettre en pratique les concepts décrits dans le Pan-Canadian Assurance Model (Modèle d’assurance pancanadien), un modèle d’assurance généralisé qui peut être utilisé pour aider différents secteurs de compétence à élaborer des normes acceptées par tous pour assurer l’interopérabilité.

Au moment de son achèvement au début de 2010, le Modèle d’assurance pancanadien représentait une compréhension commune, à l’échelle des administrations fédérales, provinciales, territoriales et municipales, des principaux termes, définitions et concepts pouvant être appliqués de concert avec les normes existantes ou pour élaborer de nouvelles normes. Le Modèle d’assurance pancanadien a été une ressource principale lors de l’élaboration de la Norme sur l’assurance de l’identité et des justificatifs et de la présente Ligne directrice.

Les ministères doivent se familiariser avec le Modèle d’assurance pancanadien.

Un élément clé de l’Initiative de renouvellement de l’authentification électronique a été la séparation de l’identité du justificatif. Cette séparation a permis la réalisation de la première phase de la mise en œuvre des services de prochaine génération à l’appui de la fédération des justificatifs. La prochaine phase majeure que le gouvernement du Canada entreprend est la fédération de l’identité.

Conformément au Modèle d’assurance pancanadien, la Norme fait une distinction entre « assurance du justificatif » et « assurance de l’identité ». La figure 1 illustre cette distinction.

Figure 1 - Version textuelle

La validation du justificatif d’identité garantit qu’une personne, un organisme ou un appareil a conservé le contrôle sur l’élément qui lui a été confié (p.ex., une clé, un jeton, un document, un identificateur) et que le justificatif n’a pas été manipulé (p.ex., altéré, corrompu, modifié). Quatre niveaux d’assurance peuvent lier un justificatif à une personne. Ces niveaux établissent le degré de confiance requis : la confiance requise sera minimale pour le niveau un, modérée pour le niveau deux, élevée pour le niveau trois et très élevée pour le niveau quatre

La validation de l’identité, cependant, est la mesure certifiant que la personne est vraiment celle qu’elle prétend être et qu’un organisme ou qu’un appareil est vraiment celui qu’il prétend être. Les mêmes niveaux d’assurance sont appliqués pour authentifier l’identité d’une personne.

L’assurance du justificatif se rapporte au processus consistant à lier un justificatif à une personne unique. Ce processus de liaison ne comprend pas nécessairement l’identité de la personne. Lorsqu’un justificatif est authentifié, le processus donne une assurance du justificatif qui permet d’assurer qu’il s’agit de la même personne qui a auparavant reçu le justificatif.

L’assurance de l’identité se rapporte au processus consistant à établir l’identité réelle d’une personne. Lorsqu’une identité est authentifiée, le processus permet d’assurer que la personne est celle qu’elle prétend être.

Les processus relatifs à l’assurance du justificatif et à l’assurance de l’identité peuvent être mis en œuvre au moyen de contrôles d’intensité croissante qui correspondent aux niveaux d’assurance accrue.

En pratique, la plupart des processus liés à la fourniture et à l’utilisation d’assurances du justificatif et de l’identité ont été combinés. Cependant, dans le cadre de son Initiative de renouvellement de l’authentification électronique, le gouvernement du Canada a séparé ces processus afin de faciliter une approche échelonnée à la fédération.

Cette séparation entre l’identité et le justificatif devient primordiale lorsque les ministères doivent réaliser l’intégration dans une fédération d’une manière qui respecte les exigences législatives des programmes et en matière de protection des renseignements personnels. La séparation permet la « confiance dans les justificatifs », ce qui signifie qu’un ministère peut avoir confiance qu’un justificatif émis à une personne par un autre ministère ou organisme est utilisé par la personne à qui il a été émis même si le ministère en question peut ne pas connaître l’identité de la personne. L’assurance de l’identité de la personne est la responsabilité du ministère qui émet le justificatif.

Du point de vue de la personne, cette séparation comporte en outre d’importantes conséquences en matière de choix et de protection des renseignements personnels. Elle permet de plus à une personne d’utiliser des justificatifs de façon anonyme ou en utilisant un pseudonyme, d’utiliser le même justificatif pour différents services ou encore d’utiliser différents justificatifs pour différents services.

Des renseignements plus détaillés sur la séparation de l’identité et du justificatif sont donnés dans le Modèle d’assurance pancanadien et dans le document Fédérer la gestion de l’identité au gouvernement du Canada : Une mise en contexte.

Les niveaux d’assurance définis dans la Norme sur l’assurance de l’identité et des justificatifs et utilisés dans la présente Ligne directrice sont conformes aux cadres de confiance émergeants de l’industrie et du secteur public (p. ex., Initiative Kantara, Open Identity Exchange, interopérabilité eID). Un cadre de confiance définit l’ensemble des exigences stratégiques, opérationnelles et techniques que les membres d’une fédération ont convenu de respecter. La reconnaissance que l’assurance est un ingrédient essentiel pour officialiser les arrangements fédérés et une composante nécessaire de la gestion collective des risques à l’échelle d’une fédération est au cœur de ces cadres.

Au sens le plus générique, un niveau d’assurance traduit un degré de confiance requis ou un niveau de confiance entre deux parties ou plus, où une partie a convenu de se fier à une autre partie pour réaliser des activités ou des processus pour son compte.

Une fédération est une entente multilatérale entre des parties, où des membres choisis de la fédération, assumant le rôle de parties ayant autorité, sont chargés de fournir des assurances. D’autres membres de la fédération, qui jouent le rôle de parties utilisatrices, se fient à ces assurances.

L’avantage de définir un niveau d’assurance générique, normalisé et requis (appelé exigence relative au niveau d’assurance) est que cela appuie la fédération (et les ententes multilatérales) et facilite la sélection et la mise en œuvre des solutions et exigences normalisées qu’exigent les cadres de confiance émergents.

La Norme sur l’assurance de l’identité et des justificatifs officialise les principaux concepts requis pour la fédération de l’identité. Le concept central est le niveau d’assurance. Le niveau d’assurance s’exprime selon un niveau générique normalisé allant de 1 à 4. Le tableau 1 décrit le cadre servant à évaluer les niveaux d’assurance de l’identité et du justificatif, tels que définis dans la Norme.

Une fois qu’une exigence relative au niveau d’assurance est établie, elle peut être utilisée pour déterminer les options d’authentification pour l’assurance de l’identité et l’assurance du justificatif et pour déterminer le processus d’authentification. L’exigence relative au niveau d’assurance est également utile lorsqu’il est nécessaire de se fédérer avec (c.-à-d. faire confiance à) d’autres parties. Selon la portée et la nature de la fédération, ces exigences peuvent renvoyer au fait de faire confiance aux justificatifs (fédération du justificatif) ou à l’identité (fédération de l’identité).

Un principe clé de l’Initiative de renouvellement de l’authentification électronique du gouvernement du Canada est de permettre aux ministères d’adopter des services fondés sur des normes qui sont disponibles dans le commerce ou d’utiliser des cadres normalisés de l’industrie lorsque c’est possible. La première phase du renouvellement de l’authentification électronique a consisté en la fédération des justificatifs, ce qui a abouti à des composantes de services d’authentification que les ministères doivent adopter (voir la section 3.6, Recours obligatoire aux services d’authentification électronique).

La prochaine phase majeure du renouvellement de l’authentification électronique est la fédération de l’identité. Cette phase sera beaucoup plus complexe, et des services commerciaux et composantes normalisées commencent tout juste à être disponibles. Les ministères doivent se familiariser avec les cadres émergents de manière à ce que, lorsque de nouveaux services et composantes seront disponibles, ils soient prêts à les adopter ou à harmoniser leurs pratiques avec eux.

La présente Ligne directrice est conçue pour aider les ministères dans leur processus d’harmonisation ou d’adoption en fournissant un cadre normalisé pour évaluer l’assurance (l’échelle à quatre niveaux) et pour les encourager à utiliser les cadres de confiance, les normes, les technologies ou les services commerciaux émergents à mesure qu’ils deviennent disponibles.

Le gouvernement du Canada participe activement à l’élaboration de cadres de fédération et de normes connexes. Les ministères peuvent obtenir des renseignements plus détaillés auprès de l’équipe du renouvellement de l’authentification électronique.

Le gouvernement du Canada est déterminé à fournir aux Canadiens un accès sécurisé aux renseignements et services en ligne. La première génération de services d’authentification en ligne était fondée sur des technologies brevetées. Au fil du temps, ces services sont remplacés par des services fondés sur des normes.

D’ici décembre 2012, le gouvernement du Canada aura acquis et mis en œuvre deux services d’authentification électronique basés sur des normes dont l’utilisation sera obligatoire pour les ministères :

1. CléGC, un service géré d’authentification de justificatifs fourni aux termes d’un contrat au gouvernement du Canada;
2. Service de courtier de justificatifs d’identité (SCJI), un service commercial fourni aux termes d’un contrat au gouvernement du Canada. Le SCJI permettra aux utilisateurs d’utiliser des justificatifs externes qu’ils ont déjà avec des institutions financières.

Dans le cadre de l’Initiative de renouvellement de l’authentification électronique, l’Agence du revenu du Canada fournit également sa propre solution de gestion des justificatifs que les particuliers, les entreprises et les représentants peuvent utiliser lorsqu’ils accèdent à ses services en ligne.

En août 2010, le Secrétariat du Conseil du Trésor du Canada a publié le Cadre stratégique de gestion du risque. Ce cadre reconnaît que le défaut de gérer efficacement les risques peut faire augmenter le coût des programmes et faire rater des occasions, ce qui peut mettre en péril les résultats de programmes et, au bout du compte, miner la confiance du public. Étant donné l’émergence récente des cadres de confiance, on est de plus en plus conscient qu’en plus de la gestion du risque, l’officialisation de relations de confiance avec d’autres organismes (c.-à-d. la fédération) constitue un moyen de réduire les coûts de programmes et de rationaliser les processus. Autrement dit, la combinaison de la réduction des risques et de l’augmentation de la confiance peut accroître tant l’efficacité que l’efficience.

L’évaluation des risques vise à répondre à deux questions : « Quel est le niveau de préjudice? » et « Quelle est la probabilité que ce préjudice se concrétise? ». Le but de l’évaluation des risques est de mieux comprendre les risques afin de les gérer. Un niveau de risque se caractérise généralement comme étant le produit du niveau de préjudice (faible, moyen ou élevé) et de la probabilité d’occurrence (faible, moyenne ou élevée). Le niveau de risque résultant est géré de différentes façons, y compris l’acceptation, l’évitement, la réduction et le partage.

L’évaluation du niveau d’assurance vise à répondre à une question : « Quel est le niveau de confiance minimum requis pour atteindre un objectif opérationnel ou de programme? ». Le but de l’évaluation du niveau d’assurance est de comprendre le niveau de confiance (niveau d’assurance) qu’une partie peut attendre qu’une autre partie fournisse.

L’évaluation du niveau d’assurance et l’évaluation des risques sont semblables en ce sens que les deux sont axées sur l’évaluation des préjudices. Cependant, l’évaluation du niveau d’assurance ne comprend pas le recours au concept de probabilité.

L’évaluation du niveau d’assurance suit une approche « Et si? » qui oblige l’évaluateur à évaluer les préjudices potentiels, quelle que soit la probabilité qu’ils se concrétisent. Autrement dit, on présume que l’occurrence se concrétisera. Cette approche signifie qu’il peut y avoir des situations où un service est considéré comme présentant un risque faible en raison d’une très faible probabilité qu’un préjudice se concrétise mais qu’il exige néanmoins un niveau d’assurance plus élevé en raison de la nature de l’opération ou des renseignements auxquels on accède (p. ex., renseignements personnels).

L’évaluation du niveau d’assurance est censée compléter l’évaluation des risques traditionnelle en officialisant le niveau d’assurance requis entre deux parties (c.-à-d. membres d’une fédération).

Les modèles d’évaluation de la sécurité de la TI et de la protection de la vie privée comportent aussi des concepts de gestion des risques.

Les modèles d’évaluation des risques liés à la sécurité de la TI mettent l’accent sur la perte potentielle de confidentialité, d’intégrité ou de disponibilité par rapport à la protection de biens de nature délicate et de grande valeur. Ces modèles définissent les vulnérabilités et la nature délicate des actifs de l’organisation, ainsi que les menaces qui les concernent et les niveaux de préjudice associés, pour en arriver à une évaluation des risques et à une recommandation sur les contrôles de sécurité qui doivent être mis en œuvre. Les modèles de sécurité englobent aussi le concept de robustesse – la combinaison de la solidité du contrôle et de l’assurance qu’il est mis en œuvre correctement.

Les modèles d’évaluation des facteurs relatifs à la vie privée mettent l’accent sur l’atteinte potentielle à la vie privée par rapport à la protection des renseignements personnels des personnes. Ces modèles décrivent la nature et le caractère délicat des renseignements personnels et des activités liées à la collecte, à l’utilisation et à la communication de ces renseignements.

À l’heure actuelle, il n’y a pas de vaste consensus quant à la façon dont les cadres de confiance (c.-à-d. niveau d’assurance) émergents et les cadres d’évaluation de la sécurité et de la protection de la vie privée doivent se rattacher l’un à l’autre. Par conséquent, leurs spécialistes doivent les appliquer de manière collaborative afin de fournir aux ministères la meilleure information possible sur laquelle fonder les décisions.

La présente Ligne directrice peut être appliquée aux systèmes qui comprennent des opérations financières. Ces systèmes sont assujettis à la Politique sur le contrôle interne, qui est émise par le Bureau du contrôleur général (BCG) et appuyée par la Directive sur l’authentification et l’autorisation électroniques des opérations financières.

Cette Directive révisée remplace la politique précédente et l’exigence qu’une signature numérique soit utilisée pour autoriser les opérations commerciales électroniques. La nouvelle Directive indique que les dirigeants principaux des finances ont la responsabilité :

d’obtenir un niveau d’assurance approprié que les risques à l’intégrité des opérations financières ont été adéquatement évalués et que les contrôles clés visant à atténuer ces risques sont documentés, en place comme prévu et fonctionnent efficacement de manière continue.

Cette nouvelle exigence vise à donner davantage de souplesse aux ministères pour ce qui est d’élaborer des solutions d’authentification dans le contexte des systèmes financiers. Par conséquent, les ministères peuvent utiliser la présente Ligne directrice pour déterminer les solutions d’authentification qui conviennent le mieux aux systèmes financiers. Les ministères doivent communiquer avec le BCG pour obtenir des conseils détaillés sur l’application de la présente Ligne directrice.

Le processus d’évaluation du niveau d’assurance aide les ministères à déterminer l’exigence relative au niveau d’assurance pour les justificatifs et l’identité et à concevoir des solutions d’authentification pour les programmes, les services et les opérations.

Le processus d’évaluation du niveau d’assurance comporte deux étapes :

L’étape 1 sert à déterminer le niveau d’assurance minimum nécessaire pour atteindre les objectifs du programme, fournir un service ou exécuter correctement une opération. Ce niveau d’assurance minimum est appelé « exigence relative au niveau d’assurance ».

Une exigence normalisée relative au niveau d’assurance indique le niveau de confiance général requis pour effectuer une activité de programme, un service ou une opération. Les ministères peuvent utiliser l’exigence relative au niveau d’assurance, conjointement avec des cadres normalisés, pour déterminer les contrôles ou les mesures de protection approprié(e)s qui devaient être mis en œuvre dans leur organisme. Ils peuvent utiliser l’exigence relative au niveau d’assurance pour déterminer ce dont ils ont besoin à titre de partie utilisatrice ou de partie ayant autorité.

Tel qu’indiqué plus tôt, la tâche de déterminer l’exigence relative au niveau d’assurance peut comprendre les mêmes intrants que ceux utilisés dans les évaluations des risques. Cependant, l’évaluation du niveau d’assurance suit une approche « Et si? », qui aboutit à un niveau de confiance plutôt qu’un niveau de risque. Dans cette approche, il est conseillé aux évaluateurs de prendre en considération les préjudices qui découleraient d’un compromis, peu importe si la probabilité d’occurrence est faible.

L’évaluation est fondée sur la nature et le genre de programmes et d’activités. En répartissant les préjudices possibles selon différentes catégories de préjudices, la feuille de travail aide les évaluateurs à cerner et à comprendre les risques dans ces différentes catégories.

L’étape 1 est menée au moyen de la feuille de travail qui se trouve à l’annexe A. Cette feuille de travail aide les ministères à évaluer les préjudices potentiels et à déterminer ainsi une exigence relative au niveau d’assurance.

La feuille de travail de l’exigence relative au niveau d’assurance comprend les catégories de préjudices suivantes :

1. Inconvénients, détresse, perte de situation sociale ou de réputation : Préjudices qui comprennent les retards, l’embarras, la perte de confiance ou l’atteinte à la réputation.
2. Perte financière : Préjudices comportant une perte financière. Les montants en argent spécifiques dépendent de la partie touchée.
3. Préjudice causé au programme ou à l’intérêt public : Préjudices qui comprennent la non-obtention des résultats escomptés, la perte de confiance de la population ou la baisse du bien-être social ou économique des Canadiens.
4. Divulgation non autorisée de renseignements personnels ou commerciaux de nature délicate : Préjudices comportant la divulgation non autorisée de renseignements personnels ou commerciaux.
5. Divulgation non autorisée de renseignements gouvernementaux de nature délicate : Préjudices comportant la divulgation non autorisée de renseignements classifiés et protégés ou de documents confidentiels du Conseil privé de la Reine (p. ex., documents confidentiels du Cabinet).
6. Infractions civiles ou criminelles : Préjudices comportant la facilitation intentionnelle ou non d’une infraction civile ou criminelle, perpétrée intentionnellement ou non
7. Santé ou sécurité personnelle : Préjudices comprenant une atteinte à l’intégrité physique ou psychologique d’une personne
8. Intérêt national : Préjudices touchant l’intérêt national.

L’étape 2 a pour but de déterminer les options en matière d’authentification qui seront utilisées pour satisfaire à l’exigence relative au niveau d’assurance déterminée à l’étape 1.

Avant de déterminer les options en matière d’authentification, un ministère doit prendre en considération de nombreux facteurs, comme l’utilisation de services obligatoires, les exigences techniques, le coût, les exigences en matière de protection de la vie privé et de sécurité et l’acceptation par les utilisateurs.

Dans de nombreux cas, il se peut que les ministères ne puissent pas, ou ne veuillent pas, mettre en œuvre leur propre solution en matière d’authentification. Ils pourraient plutôt décider que d’autres organismes (c.-à-d. des fournisseurs) exécutent l’ensemble ou des composantes choisies de la solution pour leur compte. Les fournisseurs peuvent être des entités externes ou des entités commerciales fonctionnant en vertu d’un contrat ou d’un autre arrangement, comme une fédération.

Dans certains cas, la décision de faire exécuter certaines composantes d’une solution en matière d’authentification en vertu d’un contrat ou dans le cadre d’une fédération a déjà été prise. Par exemple, le gouvernement du Canada a déjà décidé de fédérer les justificatifs en recourant à des services commerciaux (voir la section 3.6, Recours obligatoire aux services d’authentification électronique). De plus, les ministères sont tenus d’utiliser certains services et composantes normalisés.

Les ministères doivent analyser leurs options en matière d’authentification et élaborer des recommandations pour les trois catégories d’exigences :

• Exigences relatives à l’assurance de l’identité : Les exigences minimales pour établir l’identité d’une personne selon un niveau d’assurance (niveau 1 à 4) donné. Ces exigences sont énoncées à l’annexe C de la Norme sur l’assurance de l’identité et des justificatifs. D’autres détails sur les exigences relatives à l’assurance de l’identité sont donnés dans la Ligne directrice sur l’assurance de l’identité (à être publiée en 2013).
• Exigences relatives à l’assurance du justificatif : Les exigences minimales pour assurer qu’une personne a conservé le contrôle sur un justificatif qui lui a été émis et que le justificatif n’a pas été compromis. Les exigences sont énoncées dans le guide pertinent, ITSG-31, publié par le CSTC.

• Exigences relatives à l’authentification : Les exigences minimales en matière de conception technique et de processus opérationnel qui sont nécessaires pour mener un processus d’authentification (électronique ou manuel). Les exigences relatives à l’authentification électronique sont énoncées dans les guides pertinents, ITSG-31 et ITSG-33, publiés par le CSTC.

  Dans le cas des modes manuels (p. ex., en personne, par téléphone et par correspondance ou courriel), les exigences « normalisées » doivent être harmonisées avec les pratiques exemplaires du ministère ou de l’industrie. À l’heure actuelle, il existe peu de normes ou de lignes directrices portant sur ces autres modes.

Selon le Cadre stratégique de gestion du risque, le risque résiduel « est le niveau de risque qui demeure après avoir pris en compte les mesures d’atténuation du risque et les contrôles en place ».

Pour chaque catégorie d’exigences (risque lié à l’identité, risque lié au justificatif et risque lié à l’authentification), les ministères doivent pouvoir décrire comment les risques résiduels sont atténués ou pourquoi ils sont acceptés.

• Facteurs de compensation^{Note en bas de page 8} : Mesures supplémentaires utilisées au cours du processus d’authentification pour réduire un risque. Un facteur de compensation peut être utilisé lorsqu’une partie du processus d’authentification ne satisfait pas à une exigence relative au niveau d’assurance. Un facteur de compensation est censé atténuer les risques résiduels ou contrer les nouvelles possibilités de menace (anticipées ou non). L’utilisation de facteurs de compensation permet d’atténuer les risques résiduels; elle n’augmente pas le niveau d’assurance.
• Autres mesures de protection : Mesures supplémentaires utilisées en plus du processus d’authentification pour réduire les risques. Les autres mesures de protection peuvent être les mécanismes de contrôle de la sécurité utilisés en aval ou les « signaux » qui sont émis pour initier des exceptions ou des interventions.

Aux fins du présent document d’orientation, le niveau de risque résiduel dépend des facteurs de compensation et des autres mesures de protection qui fonctionnent en parallèle avec le processus d’authentification.

Le recours obligatoire aux services d’authentification électronique permet aux ministères de réaliser des économies de coûts et des gains d’efficacité technique en veillant à ce que le gouvernement du Canada n’élabore ou n’achète qu’une seule fois et mette ensuite à profit l’infrastructure commerciale en vue d’une utilisation commune. Il permet aussi au gouvernement d’optimiser et de consolider les modes de prestation de services à l’appui des services électroniques sécurisés et de préserver de façon uniforme la confidentialité et le caractère privé des renseignements sur les clients.

Le recours obligatoire aux services d’authentification électronique est assujetti à la Politique sur les services communs du Secrétariat du Conseil du Trésor du Canada et à la décision subséquente prise par le Conseil du Trésor en 2006 concernant les services obligatoires de la Voie de communication protégée. En ce qui concerne la présente Ligne directrice, deux services d’authentification électronique sont considérés obligatoires : gestion des justificatifs externes et gestion des justificatifs internes.

• Service de gestion des justificatifs externes (GJE) : Un service de gestion des justificatifs pour les utilisateurs externes (particuliers et entreprises). La mise en œuvre précédente de la GJE, appelée epass, a été remplacée par les services suivants :
  • Service de courtier de justificatifs d’identité (SCJI) : Un service commercial fourni au gouvernement du Canada aux termes d’un contrat qui permet aux utilisateurs d’utiliser des justificatifs externes qu’ils ont déjà avec des institutions financières pour s’authentifier en toute sécurité afin d’accéder aux services du gouvernement.
  • CléGC : Un justificatif portant la marque du gouvernement du Canada et destiné à être utilisé par des clients qui n’ont pas de justificatif auprès d’une institution financière ou qui choisissent de ne pas utiliser un tel justificatif.
• Service de gestion des justificatifs internes (GJI) : Un service de gestion des justificatifs qui fournit au gouvernement un ensemble normalisé de processus d’inscription pour émettre un justificatif numérique unique qui permet d’avoir accès à des services en ligne internes. Ce service se compose d’un ensemble de services qui appuie l’inscription et l’authentification des employés. La mise en œuvre actuelle de la GJI repose sur une composante :
  • maCLÉ : Un justificatif basé sur l’identité destiné aux employés à plein temps du gouvernement du Canada. maCLÉ était auparavant appelée clé ICP, certificat basé sur l’identité, profil Entrust ou certificat d’ICP. maCLÉ est utilisée pour accéder à des applications comme les applications Web de la rémunération et à des renseignements personnels, p. ex., au sujet de la paye.

Dans le cadre de l’Initiative de renouvellement de l’authentification électronique, l’Agence du revenu du Canada fournit également sa propre solution de gestion des justificatifs que les particuliers, les entreprises et les représentants peuvent utiliser pour accéder aux services d’ouverture de session de l’Agence.

La « fédération » désigne les arrangements qui permettent à des parties de fournir des assurances ou de s’y fier. La fédération comprend des parties ayant autorité qui fournissent des assurances et des parties utilisatrice qui utilisent ces assurances à l’appui de leurs processus opérationnels ou activités de programmes. La fédération est établie au moyen d’arrangements qui reposent sur un cadre commun étayé par des normes, des accords officiels et des critères établis.

Le Secrétariat du Conseil du Trésor du Canada entreprend actuellement des initiatives concernant la fédération de l’identité. Les ministères doivent communiquer avec les responsables de l’Initiative de renouvellement de l’authentification électronique pour obtenir d’autres renseignements.

La Ligne directrice sur l’assurance de l’identité est une ligne directrice connexe. Elle donne des directives sur la mise en œuvre des exigences énoncées à l’annexe C de la Norme sur l’assurance de l’identité et des justificatifs.

La Directive sur l’évaluation des facteurs relatifs à la vie privée du Secrétariat du Conseil du Trésor du Canada exige que les ministères mènent une évaluation des facteurs relatifs à la vie privée pour les activités ou programmes nouveaux ou ayant subi des modifications importantes qui nécessitent la création, la collecte ou le traitement de renseignements personnels.

L’annexe C de la Directive prévoit une identification et une catégorisation uniformisées des secteurs de risque liés à la vie privée qui doivent être incluses dans chaque évaluation des facteurs relatifs à la vie privée. Les catégories sont les suivantes :

• Type de programme ou d’activité
• Type de renseignements personnels recueillis et contexte
• Participation des partenaires et du secteur privé au programme ou à l’activité
• Durée du programme ou de l’activité
• Personnes concernées par le programme
• Technologie et vie privée
• Transmission des renseignements personnels

L’évaluation des facteurs relatifs à la vie privée doit également comprendre une évaluation du niveau de risque potentiel, sur une échelle de 1 (le plus bas) à 4 (le plus élevé).

Même si ces catégories de risques peuvent être considérées comme étant à peu près équivalentes aux niveaux d’assurance énoncées dans la présente Ligne directrice, l’évaluation des facteurs relatifs à la vie privée doit être menée indépendamment de l’évaluation du niveau d’assurance. À l’heure actuelle, il n’y a pas de lien spécifique entre ces deux évaluations; les ministères peuvent toutefois comparer les résultats des évaluations pour veiller à ce qu’elles contribuent à une compréhension plus exhaustive et uniforme des risques généraux en question.

Les ministères peuvent vouloir mener des évaluations plus généralisées des risques en matière de sécurité en utilisant la Méthodologie harmonisée d’évaluation des menaces et des risques, qui est publiée conjointement par la Gendarmerie royale du Canada et le CSTC.

La Méthodologie harmonisée d’évaluation des menaces et des risques est conçue pour tous les employés, les biens et les services menacés. L’évaluation peut être effectuée à n’importe quel niveau de granularité, des vastes profils de risque ministériels aux examens très ciblés de problèmes particuliers.

Les ministères peuvent vouloir utiliser l’analyse harmonisée d’évaluation des menaces et des risques à titre d’intrants de l’évaluation du niveau d’assurance (étape 1), ou ils pourraient vouloir adapter la méthodologie pour élaborer une évaluation des menaces et des risques ciblée et exhaustive qu’ils utiliseront conjointement avec l’évaluation du niveau d’assurance. Cette dernière approche peut être utile pour cibler les agents de menace très spécialisés associés à l’environnement en ligne évoluant rapidement et les vulnérabilités possibles qui découlent des technologies plus récentes (p. ex., tablettes, téléphones mobiles).

Pour obtenir des directives sur l’authentification liée aux systèmes de TI et la prestation de services électroniques, les ministères doivent consulter les lignes directrices ITSG-31 et ITSG-33 publiées par le CSTC.

Voici un aperçu de ces deux documents d’orientation et une application suggérée de concert avec la présente Ligne directrice.

Ce document sera examiné et mis à jour au besoin.

Pour toute demande de renseignements au sujet du présent instrument de politique, veuillez communiquer avec la Division de la sécurité et gestion de l’identité.