Avec la numérisation de leurs services, les collectivités sont contraintes de développer l’identité numérique et la PKI

Avec la numérisation, les collectivités locales font face à une double menace : l’usurpation d’identités des personnes et des IoT connectés à leur SI. Dans ce contexte où les identifiants et mots de passe ne suffisent plus, il devient indispensable de doter le territoire de solutions d’identité numérique et de process (PKI-Public Key Infrastructure) permettant d’authentifier de façon fiable les matériels, les usagers et les services. Entretien avec Guillaume Collard, Expert cybersécurité et cofondateur de CSB.School. 

Avant d’aborder la façon dont les collectivités peuvent utiliser de tels dispositifs, pouvez-vous définir ce que sont l’identité numérique et la PKI ?

L'identité numérique est un système permettant de décrire une personne réelle (physique ou morale) et son existence numérique. Cette identité comprend trois éléments clés : l'identifiant (adresse mail, numéro de sécurité sociale, les identifiants uniques), les attributs ou caractéristiques validées (nom, prénom, date de naissance, fonction, rôle), l'authentifiant (preuve que c’est bien la personne avec le mot de passe, le certificat électronique, ou la biométrie) et l’authentification multifacteur (MFA)

Une telle identité est utilisée à différents moments :

• lors des connexions web via le HTTPS. Le "S" pour "Secure" utilise le protocole TLS (Transport Layer Security) pour assurer la confidentialité des données par le chiffrement de la data entre l’usager et la collectivité, mais aussi pour garantir l’authentification du serveur. Ceci afin de s’assurer que le site web avec lequel on communique est le bon site.
• lors de la signature électronique de documents. Comme les documents de type contrat de travail, avenants ou actes administratifs. Ces signatures électroniques se font via des solutions du marché (DocuSign, Yousign) qui, selon le degré de sécurité souhaité, présentent trois niveaux d’authentification : Simple, Avancée (souvent abrégée SEA), et Qualifiée (SEQ).

Alors que l’identité numérique permet de dire « qui est qui », la PKI ou Public Key Infrastructure, porte le processus qui rend cette affirmation d’authentification vérifiable, traçable et opposable dans le temps.

Comment ces identités numériques sont-elles utilisées dans le cadre des collectivités ?

Pour les collectivités, ces identités numériques et mécanismes techniques qui permettent de les vérifier, sont utilisées dans trois cas : l’authentification de matériels, l’authentification de personnes et celle de services.

Dans le cas du matériel, l’identité numérique assure que les machines sont des acteurs de confiance. En d’autres termes, elle garantit que la machine est bien celle qui doit être connectée au système d’information. C’est dans cette optique, par exemple, et pour répondre aux obligations de la directive NIS2 et de la Loi de programmation militaire (LPM), que l’agglomération de Chambéry a apposé sur ses automates intervenant dans la gestion de l’eau, des certificats numériques. En leur donnant une identité numérique, l’agglomération s’assure non seulement que les automates ont toute légitimité à être connectés à son réseau informatique, mais accroît aussi la sécurité du système en érigeant une porte de sûreté supplémentaire. Ainsi, toute intrusion dans le réseau devient plus complexe, car elle requiert, de la part du cyberattaquant, de voler l’identité numérique des automates.

Ce dispositif peut s’appliquer à tous les objets connectés contrôlables à distance par les collectivités locales, comme la gestion des feux rouges, les bornes automatiques ou encore les transports en commun.

Deuxième type d’application : la numérisation des services dédiés aux administrés. Il s’agit là d’utiliser l’identité numérique pour accéder à des services administratifs comme un acte de naissance, le renouvellement d’une carte d’identité ou d’un passeport. Dans ce cas la collectivité intègre à son SI des plateformes d’identité numérique existantes, comme France Connect.

Troisième type enfin : les services. Dans ce cas l’identité numérique permet de protéger les échanges entre microservices, ERP, ou solutions métier en contraignant les protagonistes à s’authentifier mutuellement avec leurs certificats.

Les collectivités sont-elles soumises à des obligations réglementaires en matière d’identité numérique ?

Si le RGPD (Règlement sur la protection des données personnelles) n’impose pas l’identité numérique, le RGS ou "Référentiel Général de Sécurité" contraint les collectivités à déployer l’identité numérique pour les échanges électroniques. À cela s’ajoute l’eIDAS 2.0, un règlement européen introduisant le portefeuille d'identité numérique européen (European Digital Identity Wallet), et le SVE, règlement lié à la saisie par voie électronique. En encadrant la façon dont l’identité numérique doit être vérifiée, utilisée et acceptée dans les échanges avec l’administration, ces deux législations imposent un niveau de fiabilité et d’identification des usagers.

Aujourd’hui les collectivités sont loin d’être en conformité avec toutes les obligations de sécurité de ces réglementations. L’une des raisons responsables de ce retard est le manque de ressources compétentes en matière de cybersécurité, et notamment en identité numérique et PKI, deux domaines très spécifiques. Aujourd’hui, la France souffre d’un lourd déficit d’experts en PKI et identité numérique pour mettre en place et gérer ces processus. C’est pourquoi, à l'exception des grandes administrations (Lyon, Paris), la majorité des collectivités est démunie face à ces technologies et processus. À ce jour, seules 20 % d’entre elles ont mis en place des systèmes d’identité numérique. Aussi, pour pallier ce problème, les collectivités peuvent solliciter des PSCo (Prestataires de Services de Confiance) qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d’information).

Quels conseils donneriez-vous à une collectivité pour déployer un tel dispositif ?

La mise en place d’une telle stratégie doit commencer par l'identification des cas d'usage. Quelles sont les activités les plus menacées par l’usurpation d’identité ? Est-ce le service aux administrés ? Celle des objets connectés ou des applications internes ? De là découlent la démarche et le recours aux experts.

Si le premier objectif concerne les problématiques d’usagers, la collectivité a alors tout intérêt à faire appel à un intégrateur compétent sur les plateformes référencées d’identité numérique comme France Connect. Si le cas d’usage est lié au matériel, les compétences requises sont plutôt du ressort de l’expertise PKI afin de réaliser des développements internes. Enfin, pour tout ce qui a trait aux services applicatifs comme la bureautique par exemple. Dans ce cas, des solutions sur étagère sont parfaitement adaptées.

Toutefois, avant d’implémenter une identité numérique, il est impératif de vérifier que le système d'information est bien en mesure de l’accueillir. Car si les équipements (bornes Wi-Fi, automates) sont incapables de lire les certificats, ceux-ci n’ont, alors, aucune utilité.

Enfin, il est à noter qu’une identité numérique a une durée de vie limitée. Là où actuellement le CA/Browser Forum, un consortium regroupant les Autorités de Certification publiques et les principaux navigateurs web (Apple Safari, Google Chrome, Mozilla Firefox) impose actuellement une durée de vie de l’identité numérique de 398 jours, celle-ci sera le 15 mars 2026 réduite à 200 jours. La limite de 100 jours s’appliquera en 2027 avant d’être de 47 jours en 2029. À noter toutefois que cette règle des 47 jours s'appliquera uniquement aux certificats TLS publics (les sites web exposés sur internet). Pour les objets connectés internes (comme les automates de Chambéry), les collectivités utilisent une PKI privée non soumise à la limitation de 47 jours pour leurs équipements industriels, bien qu'il soit recommandé de raccourcir les cycles de renouvellement.

À l’heure où les collectivités locales accélèrent leur transformation numérique, l’identité numérique et la PKI apparaissent comme des maillons essentiels d’une stratégie de cybersécurité optimale. Pour les territoires, l’identité numérique et la PKI garantissent une plus grande confiance entre la collectivité, ses usagers et l’écosystème numérique.