TRAITÉ SUR LA CONSTITUTION DES IDENTITÉS … · La transformation juridique des factures papiers...
21
Un livre blanc 1 / 21 TRAITÉ SUR LA CONSTITUTION DES IDENTITÉS NUMÉRIQUES LA GESTION DE LA SÉCURITÉ DES IDENTITÉS NUMÉRIQUES SUR LE PLAN INTERNATIONAL Par Eric Bilot-Lefevre et Patrice Sambou Texte en cours de discussion au WG5 du SSEDIC Ce document de sensibilisation va être publié le 24 Novembre à la conférence de Prague du SSEDIC sur l'Identité Numérique européenne. Il pose les jalons d'une certification et d'une reconnaissance mutuelle de la valeur probante des identités numériques avec tous les problèmes que cela pose en réalité. RÉSUMÉ La sécurité juridique et informatique des identités numériques est fondamentale pour garantir aux usagers à partir de leur identité nationale, la valeur probante de leurs correspondances de courrier, de transactions, de contrats, de mandats et d’ordre de paiement signés en ligne. Ces correspondances entre parties sont exécutées par l’intermédiaire, et avec les services de confiance numérique, de nombreux opérateurs de correspondance documentaire mandatés par les parties en session de correspondance, pour les authentifier à distance, établir leurs documents originaux, faciliter leur validation, leur signature, leur expédition, leur réception, leur transfert de données informatisées, et leur conservation, avec toutes les preuves de gestion (traçabilité), en archivage légal électronique . La sécurité juridique des identités numériques repose sur trois principes essentiels : La notation des bureaux d’enregistrement de ces opérateurs et l’audit régulier de l’application stricte des procédures administratives par un prestataire de certification documentaire indépendant. Il est urgent pour l’interopérabilité entre les opérateurs, et pour la confiance numérique étendue à plusieurs pays et régions du monde, que les États harmonisent les règles de sécurité des bureaux d’enregistrement afin d’évaluer correctement et afin de préserver la qualité des identités numériques que ces bureaux délivrent avec leurs services spécialisés. La notation des identités numériques personnelles en fonction de la nature des justificatifs produits par les usagers avec la déclaration sur l’honneur de leur état civil. Cette déclaration intervient soit « en vis-à-vis » au comptoir du bureau d’enregistrement d’un opérateur de correspondance documentaire, soit directement au comptoir d’une autorité de
Transcript of TRAITÉ SUR LA CONSTITUTION DES IDENTITÉS … · La transformation juridique des factures papiers...
Un livre blanc 1 / 21
TRAITÉ SUR LA CONSTITUTION
DES IDENTITÉS NUMÉRIQUES
LA GESTION DE LA SÉCURITÉ DES IDENTITÉS NUMÉRIQUES SUR LE
PLAN INTERNATIONAL
Par Eric Bilot-Lefevre et Patrice Sambou
Texte en cours de discussion au WG5 du SSEDIC
Ce document de sensibilisation va être publié le 24 Novembre à la conférence de Prague du SSEDIC sur l'Identité Numérique européenne.
Il pose les jalons d'une certification et d'une reconnaissance mutuelle de la valeur probante des identités numériques avec tous les problèmes que cela pose en réalité.
RÉSUMÉ
La sécurité juridique et informatique des identités numériques est fondamentale pour garantir aux usagers à partir de leur identité nationale, la valeur probante de leurs correspondances de courrier, de transactions, de contrats, de mandats et d’ordre de paiement signés en ligne.
Ces correspondances entre parties sont exécutées par l’intermédiaire, et avec les services de confiance numérique, de nombreux opérateurs de correspondance documentaire mandatés par les parties en session de correspondance, pour les authentifier à distance, établir leurs documents originaux, faciliter leur validation, leur signature, leur expédition, leur réception, leur transfert de données informatisées, et leur conservation, avec toutes les preuves de gestion (traçabilité), en archivage légal électronique .
La sécurité juridique des identités numériques repose sur trois principes essentiels :
La notation des bureaux d’enregistrement de ces opérateurs et l’audit régulier de l’application stricte des procédures administratives par un prestataire de certification documentaire indépendant.
Il est urgent pour l’interopérabilité entre les opérateurs, et pour la confiance numérique étendue à plusieurs pays et régions du monde, que les États harmonisent les règles de sécurité des bureaux d’enregistrement afin d’évaluer correctement et afin de préserver la qualité des identités numériques que ces bureaux délivrent avec leurs services spécialisés.
La notation des identités numériques personnelles en fonction de la nature des justificatifs produits par les usagers avec la déclaration sur l’honneur de leur état civil.
Cette déclaration intervient soit « en vis-à-vis » au comptoir du bureau d’enregistrement d’un opérateur de correspondance documentaire, soit directement au comptoir d’une autorité de
Un livre blanc 2 / 21
certification de signature électronique si l’usager veut posséder une signature électronique personnelle.
La déclaration sur l’honneur peut être également effectuée dans ces deux situations en ligne avec une transmission électronique ou postale des justificatifs de l’état civil.
Le développement actuel des opérateurs de correspondance documentaire équipés d’un bureau d’enregistrement, et leur relative diversification professionnelle, justifient une harmonisation de leur politique de sécurité dans la reconnaissance et l’expertise des justificatifs, et une méthode commune dans la mesure de la valeur probante des identités numériques qu’ils octroient en fonction de la qualité de ces justificatifs vérifiés.
Il est urgent pour l’interopérabilité entre les opérateurs, et pour la confiance numérique étendue à plusieurs pays et régions du monde, que les États harmonisent d’une part la sélection recommandée des justificatifs de l’état civil et les méthodes de vérification, et d’autre part, harmonisent les mesures d’évaluation des identités numériques déterminées en fonction de ces premiers éléments.
La vérification en appel par les prestataires de certification et d’interopérabilité documentaire des justificatifs reçus par les opérateurs de correspondance documentaire.
Les prestataires de certification et d’interopérabilité documentaire, en consultant à leur niveau, et de manière centralisée, les autorités de certification agrées telles que les autorités de certification de signature électronique, les chambres de commerce, les registres du commerce, les greffiers, les banques et les nombreuses administrations reconnues d’utilité publique, peuvent fournir des renseignements complémentaires et très précieux pour valider la notation des identités numériques octroyées par l’opérateur et par son bureau d’enregistrement.
Les parties prenantes aux correspondances commerciales et financières étant domiciliées chez des opérateurs différents, il est indispensable que la notation des identités numériques ne soit pas contestée de part et d’autre, et que le prestataire de certification et d’interopérabilité harmonise entre les opérateurs l’échelle de valeur des identités numériques échangées dans les correspondances de leurs clients.
Il est également utile que chaque prestataire de certification et d’interopérabilité des correspondances documentaires contrôle auprès des instances supérieures de certification précitées les éventuels actes légaux de révocation de ces identités numériques pour en aviser instantanément les opérateurs des parties adverses.
Enfin, les prestataires de certification et d’interopérabilité s’engageant à certifier la valeur probante d’une liste de correspondances spécialisées, il est important de convenir, avec les opérateurs et leurs affiliés, de la notation et de la valeur probatoire minimale des identités numériques utilisées pour les différents types de correspondance forte, c’est-à-dire requérant une valeur juridique élevée, notamment pour les contrats signés, les commandes, les factures, les lettres recommandées AR en ligne, les ordres de paiement, etc.
Il est urgent pour l’interopérabilité entre les opérateurs, et pour la confiance numérique étendue à plusieurs pays et régions du monde, que les États harmonisent le rôle des prestataires de certification et d’interopérabilité documentaire, notamment pour superviser les serveurs de révocation des identités numériques, des signatures électroniques, des mandats confiés aux opérateurs, et des conventions bilatérales puisque ces éléments de révocation entrainent la nullité juridique des opérations.
Il est également utile que les États avec les opérateurs et les prestataires de certification et d’interopérabilité documentaire conviennent d’un seuil minimum de valeur probante requis pour l’identité numérique de l’expéditeur et pour celle requise pour le destinataire quand ils effectuent à deux des transactions requérant une forte valeur juridique et une opposabilité vis-à-vis des tiers. Il y a donc lieu d’établir une relation entre la force probante des identités numériques et les contraintes juridiques lourdes imposées pour certains types de transactions relevant de contraintes juridiques fortes.
PRÉAMBULE
L’identité numérique est le socle du réseau mondial de confiance numérique. L’identité numérique est la base de la sécurité juridique, informatique et économique. Le renforcement de la sécurité sur les identités numériques permet de mettre en place un système de prévention contre la fraude et les anomalies de gestion, système plus efficace que les contrôles et les audits à postériori qui sont onéreux et non exhaustifs.
La dernière étude d’Europol évalue en 2010 à 112 Milliards € le détournement de TVA en Europe, dont 18 Milliards € pour L’Allemagne et 8,1 Milliards € pour la France.
La transformation juridique des factures papiers et factures électroniques est un enjeu économique considérable pour 150 Milliards de factures en Europe (Rapport Billentis): un gain de 1 à 2% du CA, 60 à
Un livre blanc 3 / 21
80% d’économie administrative, un retour sur investissement de 0,5 à 1,5 an. Cela représente une économie de 12 millions d’arbres (CO2).
En 2011, 5 millions d’entreprises et 75 Millions de particuliers souhaitent passer à la facture électronique en domiciliant chez un opérateur les services de composition et d’archivage légal.
Seulement 32 millions de particuliers faisaient cette demande en 2008, et ils seront 100 Millions en 2012 (Rapport Billentis). Seulement 1,7millions d’entreprises faisaient cette demande en 2008, et elles seront 6,7 Millions en 2012 (Rapport Billentis).
Le rapport de la Commission Européenne (European Electronic Invoicing 3.2. 2009) estimait l’économie réalisable par les factures électroniques égale à 243 Milliards € par an.
Selon le “Financial Services Club's Blog - Great identity theft infographic.mht » l’usurpation des identités numériques aux USA a touché 8,1 Millions de particuliers ou entreprises en 2007 et 11,1 en 2009. Plus d’1,6 Millions de comptes bancaires ont été victimes de fraudes en 2009 pour un préjudice financier de 54 Milliards €.
La durée moyenne de réparation d’une identité usurpée est de 330 jours. Et plus de 25.900.000 particuliers et entreprises souscrivent aux USA depuis 2010 à une assurance spécifique qui les oblige à renforcer leur identité numérique et leur moyen d’authentification forte à distance.
En France, en Janvier 2008, le Rapport de la Commission pour la libération de la croissance française, sous la présidence de Jacques ATTALI, remis au Président de la République indique page 188-189 tout un programme très révélateur de l’importance primordiale de l’identité numérique, de sa certification juridique, et de son interopérabilité pour préserver la confiance numérique entre les citoyens, les administrations et les entreprises :
« DÉCISION 246 » : Lancer 10 nouveaux programmes majeurs d’e-administration visant à dégager au total 15 milliards d’euros d’économies par an pour l’État.
L’e-administration doit se mettre au service des citoyens, et non plus seulement servir à gérer les contribuables. Doivent donc être lancés 10 programmes portant sur :
- le recouvrement des cotisations sociales (réseau unique ACOSS, Unedic) ;
- les recrutements aux emplois publics (Bourse numérique de l’emploi commune aux trois fonctions publiques qui pourrait ensuite être ouverte aux propositions du secteur privé) ; 300 décisions pour changer la France et engager les simplifications des procédures administratives (avec un objectif de réduction de 25 % du coût des démarches administratives demandées aux entreprises) ;
- le guichet unique virtuel agrégeant les services des différentes administrations ;
- la facturation (traitement centralisé et dématérialisé des factures, dématérialisation des flux entre administrations, sécurisation des données) ;
- la justice numérique, assurant une transparence de l’information aux justiciables ;
- les services à la personne (dématérialisation du Chèque emploi service universel, le CESU) ;
- la mobilité géographique et le logement (Bourse Internet du logement social) ;
- la numérisation du patrimoine culturel ;
- la diffusion internationale du patrimoine culturel.
Consulter annexe 4.
Comment engager un tel programme sans commencer par règlementer et sécuriser les identités numérique : c’est le projet l’objectif en France du projet IDENUM.
http://www.telecompaper.com/news/french-government-unveils-idenum-digital-id-certificate
Annexe 6 : IDENUM Project
MAIS COMMENT CE PROJET PEUT IL ÊTRE COMPATIBLE AVEC LE
PROGRAMME DE GESTION DES IDENTITÉS NUMÉRIQUES DANS LES PAYS
ÉTRANGERS ?
Il existe également, dans la sphère financière, un fléau touchant notamment les banques et les administrations victimes de la dénaturation des fichiers dans leurs bases de données de d’archives internes.
Les fraudeurs usurpent l’identité des employés, fondés de pouvoir, et ils recherchent les fichiers vulnérables, notamment ceux dont l’intégrité n’est pas assurée par un scellement informatique (garantie d’intégrité) de manière à changer les données économiques (prix, échéance, nom du bénéficiaire) en vue de détourner des flux financiers dans leur intérêt.
D’autres usurpent les identités et les habilitations des employés pour détruire des documents, dénaturer des documents (original fiscal au lieu de copie de gestion) ou modifier le classement des documents pour travestir la réalité historique.
Toutes ces usurpations d’identité et falsifications de documents ont été la cause des problèmes par exemple de Lehman Brothers, de la Société Générale, ou de l’Administration fiscale américaine :
Un livre blanc 4 / 21
Reuters Published on ZDNet News: April 18, 2005, 4:43 PM PT. ” The lack of systems security at the IRS is completely unacceptable and needs to be corrected immediately," said House of Representatives Judiciary Chairman James Sensenbrenner, a Wisconsin Republican”.
Les causes de fraude sont de même nature informatique pour les affaires Enron, Worldcom ou Parmalat poursuivi après la dénonciation de faux document par Bank of America.
La loi Sarbanes-Oxley “SOX” en réaction aux scandales financiers a bien établi depuis 2008 dans sa section 404, Rule 17-CFR- 270/17a-4, les mesures de sécurité préventives, notamment le lien indéfectible entre l’identité numérique, l’adresse du serveur d’archivage légal, l’immatriculation et la datation documentaire, mais dans la réalité, la complexité des solutions informatiques mis en œuvre avec éventuellement des sous-traitants rend vulnérable les plateformes informatiques ou les chaines de dématérialisation documentaire pleine de trous dans la sécurité.
Les principaux trous dans la sécurité exploités à partir d’une fausse identité sont les suivants :
- Falsification de documents
- Document antidaté
- Usurpation d’identité
- Faux en signature et en écriture
- Non-conformité de contenu légal obligatoire
- Violation ou détournement des procédures
- Absence ou altération du dossier de correspondance (horodatage)
- Destruction de preuve
- Rupture de traçabilité (lien entre les opérations de gestion)
- Rupture d’adossement (lien entre deux opérations commerciale et financière)
- Rupture d’appariement (lien entre deux documents commerciaux ou financiers)
- Intrusion informatique, virus, spam, etc.
- Défaut d’intégrité et de confidentialité
- Abus de droit ou de pouvoir
- Vol des secrets, abus de confiance, objets de correspondance (charte graphique)
Si la dématérialisation des preuves d’échanges, de contrats, et de transactions commerciales et financières, ne s’accompagne pas d’un renforcement des identités numériques, des moyens d’authentification à distance, des signatures juridiques en ligne, en définitive, les documents, leurs correspondances et leurs archivages électroniques seront de plus en plus corrompus, engendrant plus de défiance que d’encouragement pour supprimer le papier.
Il est donc urgent que la constitution des identités numériques soient fondée sur une organisation et un réseau de confiance numérique dont l’audit et la notation des niveaux de sécurité soient reconnus par les opérateurs et leurs usagers.
L’audit et la notation des niveaux de sécurité doivent fonctionner régulièrement, prévenir les risques, et contribuer à l’harmonisation des règles entre les opérateurs, les certificateurs de valeur probante et les pays pour des raisons d’interopérabilité régulière (comme pour le GSM).
Il reste en termes de prévention contre les risques de délinquance financière de nombreuses mesures à prendre également pour le renforcement des liens entre les identités numériques étendues aux employés, la conformité des documents scellés et horodatés, et la domiciliation des originaux placés dans un coffre d’archivage électronique sécurisé et dédié.
Un tel renforcement devrait permettre d’éviter le pouvoir discrétionnaire des cadres et la manipulation des fichiers organisée dans l’intention de nuire à autrui et de transférer à son insu des actifs, des passifs, des profits, des pertes, ou des risques, en situation occulte et indétectable par le contrôle de gestion en vigueur.
Dans les opérations financières, on doit notamment « apparier » légalement les transactions financières et leurs documents de confirmation dans des dossiers de gestion conformément aux règles de droit, de comptabilité et de gestion d’un projet ou d’un instrument financier.
Cela consiste à établir pour chaque document de courrier ou de transactions une fiche de traçabilité mentionnant l’identité numérique du gestionnaire, l’horodatage de la transaction, une référence de gestion causée (et non discrétionnaire).
La référence de gestion causée indique soit l’appariement entre le document et son dossier de classement, soit l’adossement entre le document et une autre opération de gestion (commande et facture).
La fiche de traçabilité pour chaque type de correspondance mentionne obligatoirement avec l’identité numérique le matricule du serveur d’archivage légal chargé de conserver pour son propriétaire toutes les preuves électroniques produites.
Une telle sécurité prévue pour les grandes entreprises et les banques (SOX, FAS 133, IFRS, BALE 2 et BALE3) permet d’éviter les manœuvres dilatoires et discrètes permettant de dénaturer des portefeuilles
Un livre blanc 5 / 21
d’investissements (résultats ou risques), permettant d’organiser des transferts occultes de résultats au détriment des tiers, ou permettant d’effectuer certaines opérations antidatées.
Comme actuellement les systèmes de gestion électroniques sont incapables de détecter de bout en bout les défauts de validité sur les identités numériques, sur les habilitations, sur les signatures ou double signatures confiées aux employés, ainsi que les défauts de conformité, d’intégrité, d’horodatage, et d’appariement de documents, ainsi que les trous dans la sécurité de l’archivage légal, il ne faut pas s’étonner du fléau actuel de délinquance financière qui profite de cette situation d’insécurité pour accomplir de multiples infractions à la législation bancaire.
La profession bancaire déplore une masse impressionnante et croissante de falsifications des états de risques et des situations de trésorerie et de liquidités.
Elle déplore également des détournements et des malversations dans les transactions au niveau des profits et des pertes financières dont les imputations comptables ont été altérées grâce à des opérations électroniques douteuses et complexes déceler, mais souvent dramatique pour le bilan et l’avenir des banques.
L’auditeur officiel de Lehman Brothers écrivit dans le Monde en 2009 « Déterminer les vrais propriétaires des avoirs et des créances revient à dévider toujours plus avant la pelote d’un incroyable
enchevêtrement » (Tony LOMAS Auditeur/ Le Monde Marc Rocher). (ANNEXE N°)
La faillite de Lehman Brothers a coûté 16 Milliards $ aux contribuables américains. De même, la falsification à une grande échelle des opérations sur les instruments financiers « complexes et toxiques » et leurs appariements incertains dans les divers portefeuilles d’investissements, a couté plus de 35 Milliards $ aux déposants internationaux dans l’affaire Madoff.
Consulter l’article du Monde : Annexe 1.
Les opérations douteuses sur les « subprimes » américains ont couté de la même manière plus de 176 Milliards $ aux établissements financiers à cause des défaillances dans la sécurité, dans la transparence et dans la traçabilité d’une myriade d’opérations électroniques sans doute trop compliquées pour être sécurisées.
Registration Office Suite Registration ID Documents
Declaration of marital status
Solution of invitation,
signed bilateral agreements.
Virtual Private Office .
Personal management of credence attributes (marital status, signature authority, coordinates) .
Directory Relevant Partners
Quality of ID. documentation auditedQ1 Probative Value Level 1
Quality of ID. documentation auditedQ2 Probative Value Level 2
Quality of ID. documentation auditedQ3 Probative Value Level 3
Quality of ID. documentation auditedQ4 Probative Value Level 4
E.ID RATING & CERTIFICATIONREGISTRATION OFFICE, LEGAL ISSUES, LEGACY SYSTEM
REGISTRATIONMembership
INVITATIONS
E. ID Life CycleManagementEntitlementRevocation
Directory RelevantPartners
Q1 Q2
1
Q3 Q4
2
4
6
8
ID REGISTRATION SCALE RATING
Un livre blanc 6 / 21
REGISTRATION OFFICE (R.O.)CERTIFICATION SERVICE PROVIDER (CSP)
REGISTRATION
INVITATIONS
ID Management
Directory RelevantPartners
Q1 Q2
2
Q3 Q4
2
4
6
8
REGISTRATION OFFICE (RO)
ID REGISTRATION SCALE RATING
AAA
AA
A
ID CERTIFICATION
ENROLMENT
COMPLIANT
VALIDATION
ID CERTIFICATION
REVOCATION
INTEROPERABILITY
ID CERTIFICATION
EXTENDED IENTITLEMENT
INTEROPERABILITY
CERTIFICATION SERVICE PROVIDER
CERTIFICATION & INTEROPERABILITY SYNCHRONIZATION
The Certification Service Provider CSP
strengthens the probative value 6 and 8
by further notations A, AA, AAA, and he
provides also full interoperability between
all Operators & Registrars rated more than 6.
IDENTITÉ NUMÉRIQUE : VALEUR JURIDIQUE ET LÉGALE, INTEROPÉRABILITÉ ET RECONNAISSANCE MUTUELLE
L’Identité numérique est à la base de la valeur probante, de la valeur juridique, de la valeur légale, et de la confiance entre les parties pour tous leurs échanges, leurs courriers, leurs contrats, leurs commandes, leurs factures, leurs payes, leurs paiements, et leurs instruments financiers (prêts, cautions, mandats, opérations de bourse, assurances, retraites, …).
L’identité numérique doit être forte, pour l’expéditeur comme pour le destinataire, pour le créancier comme pour le débiteur, sinon les opérations qu’ils réalisent en ligne ne peuvent avoir de valeur juridique nécessaire pour être signées, transmises, et archivées dans un coffre fort électronique.
La valeur juridique de l’identité numérique ne se conçoit pas seulement pour le seul instant où les parties s’authentifient et signent leurs documents électroniques, mais pour des durées beaucoup plus longues, pour des durées d’archivage à long terme, notamment pour les prêts immobiliers (30 ans) ou les instruments financiers.
La valeur probante de l’identité numérique peut donc engager une opération pour 40 ans, ce qui suppose une grande vigilance pour ne pas découvrir plusieurs années après que l’opération est contestable ou nulle et non avenue parce que l’identité numérique d’origine est contestable ou contestée.
Pour éviter la contestation des identités numériques, il est donc important de confier l’enregistrement des identités personnelles à des bureaux d’enregistrement dignes de confiance, et dans cet environnement,, de pouvoir établir une échelle de valeur entre différentes catégories de bureau d’enregistrement normalement soumis à des procédures de sécurité, de contrôle , d’audit et de certification plus ou moins fortes.
On ne recourt pas forcément au même type de bureau d’enregistrement pour son identité numérique quand on veut une carte de membre pour un club de sport et quand on veut une carte d’identité ou un certificat d’identité numérique pour être « national citoyen », un certificat d’identité numérique pour une « entreprise-employé », un certificat d’identité numérique pour la « santé-sécurité sociale », pour la retraite, ou pour l’éducation nationale….
La dématérialisation à valeur probante, c'est-à-dire garante de la valeur juridique, légale et fiscale des opérations, est non seulement fondée sur des certificats d’identité numérique personnel, mais également, pour tous les échanges électroniques, fondés sur le principe du consentement mutuel qui est généralement formalisé par la signature d’une convention d’échange bilatérale entre les parties.
Un livre blanc 7 / 21
Il est donc fondamentale pour la signature des conventions d’échanges entre les particuliers, les entreprises, les administrations, et les opérateurs, prestataires de services électroniques, que tout le monde s’accorde dans chaque État, dans tous les Pays européens, et dans les Pays étrangers, sur la valeur et la notation des identités numériques nécessaires et échangées, ainsi que sur la valeur et la notation des bureaux d’enregistrement qui les délivrent et qui fournissent pour chaque opération un certificat d’identité numérique validé.
Les certificats d’identité numérique ainsi délivrés sur la base d’une vérification systématique de l’identité numérique originale dont l’opérateur connait la valeur juridique et la durée de validité (5 à 10 ans), sont associés aux courriers et transactions dématérialisées et ils permettent ainsi de préserver l’authenticité des parties prenantes à une transaction et d’assurer durablement la confiance numérique entre les parties pour la durée de sa conservation en archivage électronique.
Il est également important de souligner que l’identité numérique a une durée de vie conventionnelle (1 à 10 ans). Durant sa vie, chaque identité numérique peut subir certaines modifications autorisées et connaître aussi une variation dans sa valeur probante.
Il n’y a que le bureau d’enregistrement qui peut suivre cette évolution dépendante des changements d’adresses, de domiciliation (opérateur, tiers archiveur légal), de civilité (marié), et de situations
juridiques particulières et règlementées (tutelle, commission rogatoire, décès…).
Tout ce suivi légal est essentiel au niveau du bureau d’enregistrement pour que l’on puise, pour chaque partie en signature de convention bilatérale, de correspondance courrier, ou de transactions commerciales et financières, assurer que l’identité numérique est valide et dispose d’une notation ou d’une valeur probante suffisante pour le type d’opération engagé.
Les bureaux d’enregistrement ne sont pas seulement ceux qui ont un agrément pour délivrer des signatures électroniques aux usagers, soit en les faisant déplacer physiquement dans leur bureau d’enregistrement, soit en les enregistrant en ligne avec le téléchargement de leurs justificatifs d’état civil.
Il peut exister aussi des bureaux d’enregistrement rattachés à des opérateurs de gestion documentaire qui apportent un service de courrier hybrides, de courriers dématérialisés, de transactions commerciales, de transactions financières, ou de place de marché.
Là encore, les justificatifs de l’ouverture du compte chez l’opérateur demandent la remise des justificatifs en fonction de la nature des opérations et de la force probante qu’on veut leur donner.
La remise des justificatifs (carte d’identité nationale, passeport, facture électricité, relevé d’identité bancaire…) se fait par téléchargement de documents numériques signés et certifiés conformes par le souscripteur.
Tous les justificatifs peuvent être vérifiés par le bureau d’enregistrement qui a lui-même recours au Prestataire de certification et d’interopérabilité qui dispose de manière centralisée à des accès sécurisés sur des serveurs d’enregistrement officiels tenant à jour des listes d’identités complétées par certains attributs de confiance et de civilité, et assorties d’une liste de révocations fonctionnant sur une base d’autorisation.
Ces justificatifs peuvent aussi être contrôlés par la méthode du parrainage ou de la certification indirecte vis-à-vis de bureaux d’enregistrement auxiliaires (banques, registre de commerce, fédérations nationales, autorités de certification de signatures électroniques…).
S’entendre et harmoniser les identités numériques en fonction des justificatifs produits et vérifiés est une nécessité entre les bureaux d’enregistrement, les prestataires de certification documentaire et leurs pays respectifs.
Sinon, il n’y aura aucun moyen de vérifier, entre deux parties dépendantes de systèmes d’enregistrement et d’évaluation différents, que la valeur juridique de leur identité est suffisante pour le type d’opération réalisé ensemble.
Autrement dit, sans convergence des échelles de notation de la valeur probante des identités numériques et des bureaux d’enregistrement qui en assurent l’évaluation et la certification au coup par coup, il n’existera pas d’interopérabilité entre les parties dépendantes ou domiciliées dans des bureaux ou chez des opérateurs différents.
Et on ne saura jamais, si pour engager un contrat, une lettre recommandée, un email, une transaction (achat/vente), ou un paiement électronique, la valeur probante des identités numériques des deux parties est somme toute suffisante pour engager, signer légalement et archiver longtemps chaque opération.
Ce qu’il faut savoir également, c’est qu’il est indispensable que deux parties en correspondance signent leur convention bilatérale de correspondance (CBC).
Mais il faut savoir aussi, que deux opérateurs de correspondance documentaire, pour travailler ensemble pour leurs parties respective en correspondance, ils doivent établir également une convention bilatérale de service (CBS).
Ces deux conventions sont soumises à des contraintes de conformité.
C’est notamment pour les parties en correspondance, la nécessité de spécifier dans leur convention bilatérale de correspondance, leur identité numérique avec leur notation, et leur numéro de compte de
correspondance ou d’affiliation à un opérateur documentaire, tout en mentionnant les types de correspondance, les identités et coordonnées des personnes habilitées sur leur compte de correspondance, les références de leur opérateur avec sa notation, et enfin, ,éventuellement, en mentionnant le protocole
Un livre blanc 8 / 21
de communication sécurisé, signé et répondant au besoin de transfert des données entre leurs ordinateurs distants .
Si les deux opérateurs engagés dans l’exécution d’un type de correspondance ne sont pas aptes à exécuter les tâches nécessaires, la convention bilatérale de correspondance ne pourra être validée car ce type de correspondance est incompatible avec un ou les deux opérateurs.
Les opérateurs de correspondance documentaires ouvrent entre eux des conventions de correspondance services en spécifiant le ou les services qu’ils rendent.
On distingue généralement les opérateurs de domiciliation documentaire qui gèrent globalement l’enregistrement des identités numériques, le bureau privé de correspondance où chaque affilié peut gérer ses attributs de confiance, le bureau de gestion documentaire où l’affilié gère ses opérations, son suivi d’activité, et gère son carnet d’adresses, ses invitations, et ses conventions bilatérales.
Ces opérateurs globaux gèrent également les fonctions de compostions, de validation, de signature, de commutation de messages en comptes de correspondance, d’archivage, d’éditique à distance, de communication multicanal, et de transfert sécurisé des fichiers XML (EAI). Tout ou partie de ces fonctions peuvent être faites par des opérateurs Tiers spécialisés, surtout s’agissant d’archivage légal électronique.
Tous ces opérateurs sont liés par des conventions bilatérales de services assurant les échanges de leurs données sécurisées pour les prestations qu’ils assurent à leurs clients sous le contrôle du prestataire de services de certification et d’interopérabilité qui les surveille et les associe à son réseau de confiance numérique pour garantir la valeur juridique de leurs flux documentaires.
Il est clair que des opérateurs n’ayant pas une notation de bureau d’enregistrement suffisante, ni la traçabilité nécessaire pour pouvoir être certifié sur leurs opérations réputées à valeur probante, ne peuvent appartenir ou s’associer au réseau de confiance numérique du prestataire de services de certification et d’interopérabilité.
La qualité de leurs services d’enregistrement des identités numériques et de leurs services électroniques est considérée par le prestataire de certification et d’interopérabilité incompatible pour la certification, la sécurité et l’interopérabilité avec les autres opérateurs agréés et leurs affiliés.
Bureau d’Enregistrement des identités numériques : valeur juridique et légale, interopérabilité
Le bureau d’enregistrement n’existe pas seulement chez les Autorités de Certification délivrant des signatures électroniques.
On comprend bien qu’un éditeur de signatures électroniques est doté automatiquement d’un bureau d’enregistrement afin de créer dans la signature électronique un certificat d’identité numérique pour le détenteur de la signature électronique qui soit conforme à son état civil, et donc, aux déclarations et aux justificatifs qu’il produit.
Mais, il existe aussi une autre manière de s’enregistrer quand on ne dispose pas de signature électronique. Certaines personnes, la grande majorité des particuliers, préfèrent signer juridiquement, non pas avec une signature électronique qui est un moyen technique spécifique, mais avec trois services de confiance réalisés par leur opérateur :
Une authentification forte par SMS ou un autre procédé électronique équivalent.
Une procuration de scellement de leurs documents de courrier ou de transaction à valider sur une interface d’envoi, de réception, ou de signature de contrat ou d’opération financière. Une manifestation de leur consentement avec un double clic de validation et d’horodatage.
Certains opérateurs gèrent donc de cette manière de la signature en ligne en réalisant pour chaque opération de courrier, de contrat ou de transaction, un procès-verbal de signature juridique associant les résultats de l’authentification forte (identité), du scellement (document), et du consentement/validation/horodatage (signature).
Il est donc important de savoir quelle est la valeur probante ou juridique d’une identité numérique en fonction de la qualité de la déclaration d’état civil, des justificatifs produits, et des parrainages, confirmations, ou certifications apportées par des tiers de confiance officiels détenteurs de données personnelles à valeur probante (Registre du Commerce, Mairie, Chambre de Commerce, Greffiers, Banques, autorités de certification de signatures électroniques qualifiées…).
Les justificatifs nécessaires pour la certification juridique d’une identité numérique personnelle n’étant pas les mêmes dans tous les pays, il serait utile déjà d’établir une échelle de notation de 1 à 5 permettant d’encadrer toutes les situations nationales et économiques.
Le cahier des charges des Bureaux d’Enregistrement détenus par les opérateurs pour leurs clients affiliés, n’étant pas le même d’un opérateur à un autre, et dans les différents pays, il serait nécessaire pour établir un bon niveau de sécurité juridique et informatique, de spécifier les fonctions, les obligations, et les audits extérieurs de nature à établir et maintenir une bonne qualité pour la certification des identités numériques, et de nature à préserver dans le temps
l’application des procédures et la sauvegarde des bases de données personnelles correspondantes.
Un livre blanc 9 / 21
Enfin, pour assurer la certification de la valeur probante des identités numériques et des transactions engagées par les parties sur leurs opérateurs documentaires respectifs, il existe entre ces opérateurs, un prestataire de services de certification et d’interopérabilité.
C’est lui, l’opérateur de certification et d’interopérabilité qui pourra vérifier entre deux parties si la valeur probante de leurs deux identités numériques est suffisante, et si la valeur probante des fonctions exercées par leurs opérateurs respectifs est également suffisante pour garantir globalement la transaction en termes d’émission de documents originaux, de signature juridique en ligne, de preuves d’envoi et de réception, et enfin en termes d’archivage durable électronique.
Le prestataire de certification des échanges documentaires et d’interopérabilité entre les opérateurs engagés par les parties dans la correspondance ou dans la transaction en ligne, vérifie que les identités numériques sont correctement établies et actualisées par les bureaux d’enregistrement chez les opérateurs. Il peut vérifier ou corroborer sur des bases de données auxiliaires l’exactitude des informations.
Ensuite, le prestataire de certification des échanges documentaires et d’interopérabilité vérifiera l’emploi de ces identités numériques en fonction de la validité des mandats confiés par les parties
identifiées aux opérateurs, en fonction de la validité des signatures électroniques utilisées par ces opérateurs, en fonction des conventions bilatérales signées entre partenaires, et entre opérateurs (réseau de confiance numérique), et en fonction des contraintes à respecter dans chaque type de correspondance ou de transaction pour l’obtention de sa valeur probante certifiée.
Le prestataire de certification des échanges documentaires et d’interopérabilité en réalité tient, pour garantir la valeur probante de toutes les correspondances de courrier ou de transaction, les annuaires de cycle de vie et de révocation permettant de suivre la durée de validité contractuelle des identités numériques, et il tient pour les usagers les listes de révocation permettant de suspendre ou d’annuler leur identité numérique (sécurité/risque de fraude), leur mandat opérateur, leur signature électronique (serveur de remise de documents en masse), et leurs conventions bilatérales de services avec les partenaires.
Ce prestataire de certification suit également sur les serveurs de révocation des autorités de certification de signatures électroniques utilisées par les opérateurs la validité de leurs signatures réservées aux scellements, aux procès verbaux de signature et d’horodatage, aux transferts sécurisés, et au cryptage des documents archivés.
Chaque bureau d’enregistrement soumet au prestataire de certification et d’interopérabilité pour validation l’identité numérique enregistrée pour une ouverture de compte documentaire avec une proposition de notation de l’identité numérique.
Le prestataire de Certification documentaire dispose généralement de moyens propres et autonomes pour vérifier la pertinence de la notation notamment en consultant des bases de données officielles et qualifiées.
Ce n’est qu’à partir de la validation par le Prestataire de Certification documentaire de la notation de l’identité numérique, que son propriétaire, affilié à un opérateur de gestion documentaire, bénéficiera de la garantie juridique sur les types d’opération autorisées pour le niveau de notation de son identité numérique.
La validation par le Prestataire de Certification documentaire de l’identité numérique calculée et enregistrée par un opérateur et son bureau d’enregistrement, permet non seulement à l’affilié d’obtenir la certification juridique de toutes ses opérations de correspondance, mais également, de correspondre, grâce à ce Prestataire de Certification documentaire, avec tous les partenaires domiciliés chez d’autres opérateurs mais rattachés au même réseau de confiance numérique (« prestataire de certification documentaire »).
RÉSEAUX SOCIAUX ; INVITATION, INSCRIPTION,
DOMICILIATION, CONVENTION D’ÉCHANGE BILATÉRALE.
Aucun système de dématérialisation des échanges documentaire n’est efficient sans un excellent bureau d’enregistrement certifié à valeur probante et sans un bureau d’invitation.
En effet, comme la dématérialisation des échanges est fondée sur des identités numériques et sur une
convention bilatérale, il faut pour chaque nouvelle relation par Internet, lancer une invitation à sa nouvelle contrepartie pour l’inciter à signer la nouvelle convention bilatérale.
Il est donc indispensable pour la nouvelle contrepartie invitée à décliner son identité numérique et le matricule de son opérateur chargé de son compte de correspondance (boite aux lettres électroniques ou compte de correspondance électronique) et chargé de son coffre fort d’archivage électronique.
Sans ces informations préliminaires, il n’est pas possible aux parties de signer électroniquement et valablement leur convention de correspondance bilatérale qui engage aussi dans leurs échanges ou transactions leurs opérateurs respectifs.
Un livre blanc 10 / 21
Dans l’hypothèse où la personne invitée par un email classique ne peut renseigner sur l’interface d’invitation son identité numérique certifiée à valeur probante, surtout pour le niveau requis pour les types d’opérations souhaitées et mentionnées dans l’invitation, la personne sera dirigée sur un bulletin d’inscription et elle devrait avoir le choix entre plusieurs opérateurs et bureaux d’enregistrement pour ouvrir son compte de correspondance avant de répondre finalement à l’invitation reçue.
Il est donc important d’organiser des systèmes d’invitation qui soient à la fois dimensionnés pour les grands réseaux sociaux, rapides, performants, ergonomiques, et qui soient en conformité avec les contraintes de certification imposées au bureau d’enregistrement et à la validité des identités numériques.
Ces systèmes d’invitation doivent démarrer à partir des carnets d’adresses des invitants et dérouler un processus d’invitation fluide, fonctionnant en masse avec un suivi d’activité sur les étapes de gestion de ces invitations reçues et traitées d’une manière ou d’une autre par les invités.
La flexibilité du système d’invitation est également essentielle car si l’invité ou l’invitant n’ont pas le niveau de valeur probante et de certification de leur identité numérique suffisant, la convention bilatérale sous jacente à l’invitation ne pourra être validée et signée par les deux parties, ou sinon que pour des opérations exigeant moins de valeur probante (courrier postal).
Par exemple, si l’identité numérique est correcte et égale à 4/5 pour l’invitant, mais que l’invité est
inscrit avec une identité numérique égale à 2/5, les deux parties ne pourront s’adresser que des courriers hybrides ou des mails ou des fax non sécurisés.
A cause de la faiblesse de la notation de valeur probante de l’identité numérique de l’invité, toutes les opérations à dématérialisation forte basée sur la signature et sur l’archivage légal électroniques seront évidemment impossibles.
On ne peut communiquer par Internet avec la certification de la valeur probante des échanges documentaires signés juridiquement sans une identité numérique forte et contrôlée à chaque session.
Sans certificat d’identité forte et sans certification de la valeur probante des échanges, l’opérateur ne peut exercer la capacité d’administrer les preuves électroniques devant les Tribunaux. Une identité numérique floue n’engendre aucune certification juridique.
GESTION PERSONNELLE DE L’IDENTITÉ NUMÉRIQUE : DOMICILIATION, MODIFICATION, RÉVOCATION, MANDAT
L’identité personnelle est un attribut personnel, confidentiel et légalement interdit de transmission à un tiers.
L’identité numérique est à l’origine de toute la gestion des échanges documentaires, c'est-à-dire à l’origine de la gestion des attributs de confiance propres à la personne (données d’état civil, coordonnées personnelles, codes secrets, mandats pour les opérateurs de confiance ….), à l’origine des droits ou délégations de pouvoir confiés à des tiers pour la gestion des échanges et des tâches spécifiques ou non (habilitations), et à l’origine des opérations réalisées directement (courrier, transactions, paiements, gestion des instruments commerciaux et financiers).
L’identité numérique authentifiée à distance par des moyens fiables et sécurisés est également nécessaire. Elle est vérifiée à chaque session par l’opérateur, pour donner accès au bureau privé de gestion, espace très protégé et confidentiel où le titulaire du compte de correspondance peut modifier et justifier un changement d’attribut de confiance entrant dans la notation de son identité numérique, par exemple son adresse physique et son adresse numérique (téléphone mobile + adresse email).
Si l’opérateur de correspondance ou le prestataire de certification chargé de garantir la valeur juridique des opérations à chaque contrepartie, détecte chez un titulaire de compte de correspondance, une anomalie répétitive dans la domiciliation de ses correspondances (NPAI N’habite pas l’adresse indiquée ; email en erreur ; numéro de mobile incorrect), le titulaire du compte et de l’identité numérique risque une chute de la valeur probante de son identité et une interdiction de gestion pour certains types de correspondance ou d’échanges numériques nécessitant une identité forte..
Le titulaire d’un compte qui a une identité défaillante, devra rapidement accéder à son bureau privé de gestion pour indiquer les nouvelles données remplaçant celles indiquées qui sont en anomalies, et il devra éventuellement produire de nouveaux justificatifs à son bureau d’enregistrement.
Pour l’entreprise identifiée par un document d’enregistrement à la chambre de commerce, au registre du commerce, et par son relevé d’identité bancaire, il existera également une procédure d’alerte très
rapide en cas de redressement judiciaire, de cessation de paiement ou de plan de cession, permettant de suspendre l’identité numérique défectueuse et le fonctionnement du compte de correspondance.
Dans la notation de l’identité numérique il est aussi par convention possible de rentrer un paramètre de solvabilité conforme à Bâle 2 et Bâle 3.
Un livre blanc 11 / 21
IDENTITÉ NUMÉRIQUE ÉTENDUE : APPLICATIONS,
DÉLÉGATIONS DE POUVOIR, HABILITATIONS.
Il faut bien réaliser que l’identité numérique d’une personne physique ou morale a des prolongements importants en matière d’applications.
Autrement dit, on associe à partir d’une identité numérique représentative d’une personne morale, par exemple, des pouvoirs, des habilitations, des opérations et des tâches qui engagent la responsabilité de la personne certifiée.
Pour une personne morale et une identité numérique certifiée, il peut y avoir des centaines d’identités numériques auxiliaires désignées par la première, et fondées de pouvoirs pour gérer des types de transactions et des tâches de gestion particulières, notamment des droits de validation, de signature, d’envoi, de réception, de transmission, d’archivage, de routage, de communication multicanal, de transfert sécurisé des fichiers à des ordinateurs distants, et de destruction de fichiers.
La chaine de confiance numérique ne doit pas être interrompue et attaquée dans l’enchaînement des personnes et des opérations nécessaires à la réalisation des courriers ou des transactions.
L’identité numérique étendue est donc un enchainement de rôles et d’identités numériques auxiliaires associées à la réalisation d’opérations par le jeu d’habilitations et de délégations de pouvoir autorisées, organisées pour chaque type de correspondance ou de transaction, dans la limite de certaines durées et de certaines valeurs financières définies par le détenteur du certificat d’identité principal.
Si la notation de l’identité numérique du titulaire d’un compte de correspondance ou de transaction domicilié chez un opérateur documentaire, est inférieure à un certain niveau de valeur probante, normalement 3/5, il est impossible, comme on l’a écrit, à cette personne d’inviter des contreparties, mais également impossible de gérer des octrois d’habilitations et des délégations de pouvoirs qui entraineraient des responsabilités sur des tiers ignorant la carence ou la faiblesse de l’identité numérique de leur mandant.
Également, une faible valeur probante de l’identité numérique empêche le titulaire du compte de gérer des mandats de prélèvement monétaire en faveur de ses créanciers ou de ses fournisseurs dans le cadre de la réforme du SEPA (SDD).
L’identité numérique du titulaire du compte d’échanges numériques à valeur probante a une durée de vie déterminée qui limite la durée d’obtention du certificat d’identité numérique délivré par le bureau d’enregistrement pour chaque session.
Comme c’est la règle pour une carte d’identité nationale citoyen limitée à 10 ans, l’opérateur peut procurer des certificats d’identité numérique avec une notation forte pour toutes les sessions et opérations dans le délai de 10 ans par exemple.
Il serait pratique que les Opérateurs et leurs États conviennent d’une durée de vie des identités numériques identiques, sachant que quand la durée est terminée, le souscripteur doit renouveler sa déclaration d’état civil avec la remise ou la présentation des justificatifs nécessaires.
Quand il n’y aura plus de documents papiers, et que nous serons passés à une économie totalement numérique, basées sur des documents originaux dématérialisés, le souscripteur devra se les procurer chez les autorités compétentes et les conserver dans son coffre d’archivage légal. Et les documents originaux de pièces d’identité ne pourront circuler que de coffre à coffre avec des conventions règlementées.
Dans les applications de gestion, notamment celles qui sont installées et exploitées pour le SCM Supply Chain Management, CRM Customer Relationship Management, ERP Enterprise Ressource Planning, FCM Finance & Cash Management, ALM Asset & Liabilities Management, les identités numériques doivent être renforcées (3V – 3D SECURE), appariées avec des délégations de pouvoir, et utilisées avec des habilitations appropriées aux modèles de transactions de telle manière que l’on puissent simplement vérifier la chaine de valeur juridique et éviter le pouvoir discrétionnaire qui un fléau dans les grandes organisations.
Il s’agit dans un journal de traçabilité enregistrant la valeur probante de chaque transaction signée de vérifier la validité :
- de l’identité numérique,
- du pouvoir de gestion,
- de l’habilitation spécifique à chaque fonction de gestion,
- du scellement du document intégrant le certificat d’identité numérique,
- de l’horodatage constatant la manifestation du consentement ou la signature juridique du fichier précédent,
- du cryptage du fichier documentaire et de sa signature juridique pour procéder à l’archivage légal.
L’identité numérique est intégrée à tous les stades de la chaîne de valeur documentaire : 6 étapes indissociables.
En réalité, comme les usagers ne sont pas tous dotés d’une signature électronique sur leur poste de travail, ils confient à leur opérateur tiers de confiance, la responsabilité de sceller le document, de signer
Un livre blanc 12 / 21
l’horodatage, et de crypter les preuves électroniques avec leur signature électronique de tiers de confiance.
On entend par tiers de confiance un opérateur qui s’engage dans la convention d’échanges et de preuves avec son client à une « obligation de résultat » et à une obligation de traçabilité, c'est-à-dire de restitution des preuves et des anomalies pendant toute la durée d’archivage légal de la transaction.
Au-delà du journal de traçabilité constitué pour l’identification de l’émetteur ou de l’expéditeur de courriers en ligne, il y a lieu, avant d’engager les processus d’émission, signature et envoi des documents, de vérifier pour la certification de la valeur probante que chaque contrepartie possède bien une identité numérique forte, une convention bilatérale signée et valide avec l’expéditeur, et un opérateur garantissant pour la réception du document l’authentification forte de son identité numérique, le contrôle de son habilitation (fondé de pouvoir pour lire le document) et garantissant pour le destinataire la conservation légale et durable du document et des preuves d’envoi et de réception dans son coffre d’archivage électronique.
Cela veut dire que, pour toute session de gestion documentaire, si l’émetteur engage 10.000 ou 100.000 courriers ou transactions sur une même session, il faut avant d’engager le processus d’émission certifié à valeur probante, vérifier sur une base de données partenaires que les identités numériques des
parties adverses, les conventions bilatérales signées avec eux, et les habilitations de réception utilisées par eux sont valides et suffisantes.
IDENTITÉ NUMÉRIQUE ÉTENDUE, ANNUAIRE DES OPÉRATEURS.
Les opérateurs prestataires de services documentaires pour les correspondances de courriers, de contrats, de transactions, et d’ordres de paiement électroniques (par exemple les PSP pour le SEPA), ne peuvent bénéficier pour leurs clients, titulaires chez eux de comptes de correspondances, d’une certification de la valeur probante de leurs opérations, sans contrôler parfaitement leurs identités numériques de leurs clients ainsi que celles de leurs contreparties éventuellement domiciliées chez des opérateurs ailleurs.
Les Opérateurs sont aidés en cela par un « annuaire des partenaires » qui devrait suivre régulièrement au jour le jour les notations des identités numériques de leurs titulaires ainsi que celles de leurs contreparties signataires de conventions bilatérales de correspondance.
En effet, les identités numériques et leur notation de valeur probante concernant les contreparties sont connues dans les conventions bilatérales, et leurs modifications éventuelles sont également connues grâce
à la procédure de modification déclenchée par le bureau d’enregistrement ou par la contrepartie elle-même.
Chaque modification d’un terme quelconque de l’identité numérique d’une contrepartie, ou de l’identité numérique auxiliaire (personne habilitée), que ce soit au niveau de la notation de l’identité numérique, ou au niveau des coordonnées (adresse email, numéro de mobile), cette modification est systématiquement circularisée par l’opérateur à l’origine de la modification et adressée à tous les autres opérateurs adverses et dépositaires d’un convention bilatérale avec le titulaire concerné par la dite modification.
L’identité numérique étendue est donc répertoriée dans un annuaire partenaire géré par chaque opérateur pour le compte de chaque client titulaire d’un compte chez lui. Il suit non seulement l’identité numérique des deux personnes signataires d’une convention bilatérale avec leur notation de la valeur probante de leur identité numérique (1 à 5), mais il suit également pour chacune de ces deux personnes les identités secondaires du personnel habilité et fondé de pouvoirs avec leurs coordonnées (adresse mail personnelle et numéro de mobile personnel).
Si un quelconque élément de l’identité numérique change par la volonté du titulaire d’un compte, ou par la volonté du préposé (fondé de pouvoir), ou par la décision de son opérateur (bureau d’enregistrement), le processus de modification et d’information multilatéral permettra dans la journée d’actualiser les données de l’annuaire des partenaires tenu par chaque opérateur concerné.
Parallèlement, le prestataire de certification qui valide le document et de courrier de notification d’une modification dans l’identité numérique pour un titulaire de compte connaîtra chaque changement dans la notation de l’identité numérique si celle-ci a été activée pour une transaction.
Le prestataire de certification pourra au jour le jour se synchroniser avec tous les opérateurs pour s’assurer que toutes les notations de valeur probante des identités numériques sont correctes et harmonisées entre eux. C’est ainsi et seulement ainsi que l’on peut effectivement fonder la valeur juridique des preuves de transactions, des preuves de signatures, et des preuves d’archivage légal.
Pour ce qui est de la valeur légale et fiscale des documents originaux, pour éviter les fraudes, et pour faire la distinction native entre un fichier original et les autres fichiers qui peuvent être antidatés, transformés, et déplacés à la guise des gestionnaires, de nombreux pays ont décidé d’associer l’identité numérique à un seul serveur d’archivage légal déclaré préalablement, serveur où seront obligatoirement domiciliés et conservés durablement les originaux de fichiers ou de documents électroniques.
C’est la raison pour laquelle certains opérateurs caractérisent l’identité numérique de leurs clients en introduisant obligatoirement la référence ou les références de domiciliations chez les opérateurs qu’ils ont
Un livre blanc 13 / 21
mandatés pour la conservation légale de leurs documents de bilan et de hord bilan (SOX). L’identité numérique est également déclarée avec le matricule du Tiers Archiveur à la direction fiscale.
Les identités numériques, la notation de leur valeur probante, leur mention dans les conventions bilatérale de correspondance, et les mentions complémentaires des personnes habilitées et fondées de pouvoir sur le compte, sont donc des informations essentielles et suivies au jour le jour par l’annuaires des partenaires tenu par chaque opérateur pour chacun de ses clients affiliés. C’est une condition essentielle pour mesurer et garantir la valeur probante des correspondances de courriers et transactions.
Il importe donc que les pays de l’Union Européenne, et les autres pays, pour favoriser les échanges commerciaux et financiers transfrontaliers, s’entendent sur ces procédures de certification qui s’appuient sur des règles de fonctionnement très simples à mettre en œuvre au niveau des opérateurs pour leurs clients optant soit pour la version ASP soit pour la version SaaS.
IDENTITÉ NUMÉRIQUE ÉTENDUE, ANNUAIRE DES
PRESTATAIRES DE CERTIFICATION ET D’INTEROPÉRABILITÉ
Chaque prestataire de certification et d’interopérabilité gère son réseau de confiance numérique comprenant un certain nombre d’opérateurs de correspondance documentaire, et d’opérateurs tiers souvent spécialisés dans l’archivage légal.
Le rôle des prestataires de certification et d’interopérabilité est, d’une part, d’assurer la certification de la valeur probante des identités numériques des titulaires de comptes ouverts chez les opérateurs de correspondance documentaire, en entérinant la notation attribuée par leur bureau d’enregistrement respectif après une série de vérifications complémentaires sur des bases de données centralisées et sécurisées ; c’est d’autre part, la mission de suivre les révocations intervenant sur la valeur probante des identités numériques, intervenant sur les signatures électroniques, intervenant sur les mandats confiés aux opérateurs, et intervenant sur les conventions bilatérales passées avec les partenaires.
Il importe que dans un jeu de 10.000 ordres de correspondance remis par un titulaire de compte, l’opérateur soit renseigné par son prestataire de certification si une quelconque révocation est intervenue depuis le jour précédent pour son client.
Car l’opérateur ne peut lancer 10.000 ordres de transactions entre les parties, sans doute domiciliées chez plusieurs opérateurs sans vérifier qu’aucun élément de nullité n’existe à l’encontre de la valeur probante ou de la sécurité juridique entre le donneur d’ordre et chacune de ses contreparties, obligeant le donneur d’ordre ou l’émetteur en cas d’opposition juridique, à différer une ou plusieurs opérations ou transactions.
Les risques de révocation sont fréquents surtout pour les signatures mis en œuvre par les opérateurs pour sceller (document), pour horodater (validation), pour signer (transfert sécurisé), pour crypter (archivage) les fichiers, et pour certains mandats confiés aux opérateurs ou tiers (mandats sur les ordres de paiement PSP).
Mais il ne faut pas exclure aussi la révocation d’une identité numérique sur une contrepartie qui n’a pas renouvelé son enregistrement périodique, ou qui a changé de domicile fiscale, ou qui suspend l’usage de son certificat d’identité numérique pour des motifs légaux.
Il existe aussi des révocations exceptionnelles dans les circonstances de procédures judiciaires (commission rogatoire, redressement judiciaire, …) ou notariées (décès, succession, déclaration de perte des codes secrets ou des clés d’accès au compte…).
Le prestataire de certification publie également une liste des correspondances de courrier, de transactions, et d’opérations commerciales, administratives et financières dont il garantit vis-à-vis des opérateurs et de leurs affiliés, la mesure de valeur probante et leur notation.
Dès lors que les identités numériques sont suffisantes en mesure de valeur probante par rapport aux exigences de chaque type de correspondance répertorié, et qu’il n’existe aucun motif de révocation pour effectuer les opérations, les parties sauront exactement à l’avance quel niveau de certification de valeur probante sera affecté ou attribué à leur échange organisé.
Le prestataire de certification et d’interopérabilité exerce aussi sur tous les opérateurs un rôle d’auditeur pour vérifier que les procédures de certification qu’il impose aux opérateurs, notamment au niveau de leur bureau d’enregistrement, sont bien appliquées.
L’indépendance des prestataires de certification et d’interopérabilité permet de préserver la confiance
dans les réseaux des opérateurs et de leurs clients.
Dans la convention bilatérale de services obligatoirement signée entre les opérateurs pour s’échanger des fichiers sécurisés, il est explicitement mentionné qu’ils acceptent des audits du prestataire de certification pour prévenir tous les risques d’irrégularité dans les procédures simples qui leur sont demandées d’appliquer dans l’intérêt général.
Dans la mesure où la définition et la dimension d’un opérateur documentaire peut concerner également des entreprises qui veulent établir leur propre politique de sécurité avec leur propre bureau d’enregistrement à l’échelle de leur communauté d’employés et d’une partie de leurs comptes clients et
Un livre blanc 14 / 21
fournisseurs, on mesure l’importance des audits du prestataire de certification et d’interopérabilité pour s’assurer la bonne gestion des identité numériques et des annuaires de partenaires.
Aucune convention bilatérale de services ne peut être validée par le prestataire de certification si l’un des opérateurs s’oppose aux procédures régulières d’audit organisées pour vérifier la bonne application des procédures avec les moyens informatiques nécessaires.
Certains gouvernements ont introduit catégoriquement cette clause d’audit dans les conventions signées entre leurs administrations et avec les organismes sociaux, ceci de manière à promouvoir une interopérabilité rapide, efficace, et digne de confiance.
IDENTITÉ NUMÉRIQUE, ORDONNANCEMENT DES PARAMÈTRES
DE SÉCURITÉ JURIDIQUE ET INFORMATIQUE
A chaque session et remise de données destinées à l’émission de documents électroniques transmis et archivés d’une certaine façon, l’opérateur authentifie fortement la personne, vérifie la notation de son identité numérique et ses éventuelles habilitations, et il effectue ensuite des contrôles préliminaires de nature à connaitre le type de correspondance demandé et les opérations à engager.
Il injecte alors un processus d’ordonnancement programmé pour ce type de correspondance (courrier, transaction, contrat, ordre de paiement…) qui va dérouler avec le workflow de gestion documentaire une fiche de traçabilité qui va s’enrichir à chaque étape et opération réalisée d’une valeur ajoutée informative et probante jusqu’à la dernière opération.
Chaque opérateur engagé dans le processus de gestion documentaire dématérialisée pour le compte de son client rend au prestataire de certification la fiche de traçabilité qui lui demandé de remplir.
Le prestataire de certification et d’interopérabilité récoltera l’ensemble des fiches de traçabilité auprès des opérateurs engagés dans la chaine de dématérialisation documentaire pour le compte des deux parties en correspondance, vérifiera leur conformité et adressera en retour aux opérateurs concernés les certificats de valeur probante résultants de leurs bonnes opérations.
Le processus d’ordonnancement véhicule les données initiales avec la fiche de traçabilité et les identités numériques, d’une part pour les parties prenantes à l’échange et d’autre part, pour les opérateurs qui les servent respectivement.
Il s’agit donc de bien connaître la notation des identités numériques concernant pour les titulaires de comptes la qualité de leur état civil, et pour les opérateurs la qualité de leurs prestations (notamment pour le bureau d’enregistrement et le bureau privé de correspondance attribué à chaque titulaire de compte).
Le processus d’ordonnancement s’appuie au départ sur les contrôles préliminaires et sur les informations contenues dans l’annuaire des partenaires (notation des identités numériques, éléments de révocation, coordonnées des personnes habilitées…).
Cet annuaire installé chez chaque opérateur de correspondance documentaire est actualisé et synchronisé une fois par jour par le prestataire de certification et d’interopérabilité.
Au terme de chaque processus de gestion documentaire réalisé au niveau de chaque opérateur, un compte rendu d’activité est remis avec la fiche de traçabilité complétée au prestataire de certification qui contrôle et consolide l’ensemble des remises, vérifie leur exhaustivité, et délivre aux opérateurs concernés les certificats de valeur probante qu’ils attendent en retour de leurs opérations correctement exécutées.
S’il existe dans les fiches de traçabilité des anomalies, elles seront immédiatement détectées par le Prestataire de Certification et elles sont considérées comme bloquantes et la remise initiale sera annulée, ou considérées non bloquantes auquel cas un état d’anomalie circonstancié sera notifié à l’opérateur ou aux opérateurs concernés.
Certaines anomalies enregistrées par le prestataire de certification et d’interopérabilité peuvent immédiatement ou au terme de plusieurs erreurs récidives, entrainer la déchéance de l’identité numérique, c'est-à-dire une valeur probante abaissée ou nulle pour bloquer les transactions douteuses d’une personne suspecte.
Il est possible aussi que le prestataire de certification et d’interopérabilité passe des conventions de confidentialité avec d’autres prestataires de certification qui lui confirmeront la valeur de l’identité numérique sur la base de leur propre système de validation (exemple les banques).
Il existe donc des identités numériques et des conventions bilatérales entre prestataires de certification
et d’interopérabilité (Conventions Bilatérales d’Interopérabilité) qui se reconnaissent mutuellement et qui s’autorisent mutuellement à faire des audits chez leurs prestataires de contreparties, notamment pour connaitre le nombre statistique d’anomalies ou d’incidents graves relevés sur les identités numériques de leur propre réseau de confiance.
Un livre blanc 15 / 21
CONVENTION DE CORRESPONDANCE DES IDENTITÉS
NUMÉRIQUE
La convention de correspondance universelle est la base de la sécurité juridique dans les échanges électroniques, notamment sur le plan légal. C’est la raison pour laquelle cette convention est signée de façon bilatérale et requiert une identité numérique forte pour les deux parties.
Elle mentionne également les identités numériques des opérateurs auxquels les parties confient pour des raisons d’expertise et de sécurité leurs opérations de conformité et d’émission des documents à partir
desquels sont organisées des signatures, des envois, des réceptions, et des archivages de fichiers ou de données structurées (EDI/XML).
La convention de correspondance entre identités numériques est un élément essentiel de la convention de correspondance universelle. Elle mentionne la notation de l’identité numérique de chaque partie.
Elle indique, en fonction du niveau de valeur probante de chacune de deux identités numériques, la liste des types de correspondance auxquels les deux parties sont autorisées à s’échanger des données en bénéficiant de la certification documentaire.
Si l’une des parties a une notation de l’identité numérique faible, les types de correspondances qui sont dématérialisées (signature et archivage électroniques) et à valeur probante forte, leur seront inaccessibles.
La convention de correspondance bilatérale ne contient pas seulement les deux identités numériques des deux titulaires de comptes de correspondance domiciliés chez le même opérateur, ou chez deux opérateurs distants, mais cette convention contient également des identités numériques secondaires ou auxiliaires pour les personnes ou le personnel habilités.
C’est ce qu’on appelle la liste des « identités numériques étendues ». Ces identités numériques secondaires ont naturellement la notation de leur mandant, titulaire du compte de correspondance chez l’opérateur.
Dans la convention de correspondance bilatérale, on retrouvera pour l’information de la contrepartie, d’une part la notation de l’identité numérique de la contrepartie titulaire, mais également ses coordonnées ainsi que celles de toutes les personnes habilitées.
On entend par coordonnées d’une identité numérique principale ou secondaire, le numéro de mobile, son adresse électronique, son adresse postale, et éventuellement son numéro de fax. Ces informations sont donc disponibles pour la partie adverse signataire d’une convention de correspondance bilatérale.
Il est également possible que pour chaque identité numérique principale ou secondaire, on puisse connaitre ses habilitations de gestion ou ses droits : valider, signer, envoyer, recevoir.
A chaque fois qu’une personne mentionnée dans une convention de correspondance bilatérale modifiera son n° de mobile, son adresse électronique, son adresse physique, etc. un système de courrier dématérialisé permettra de circulariser toutes les personnes signataires d’une convention de correspondance bilatérale avec lui ou son préposé, titulaire du compte.
Ainsi, les attributs de confiance des identités numériques principales et secondaires seront automatiquement actualisés dans les conventions de correspondance bilatérales concernées ainsi que dans les annuaires de partenaires tenus par les opérateurs concernés.
Cette procédure est essentielle pour maintenir la valeur probante des identités numériques, et en cas de modification par un acte de révocation, de prévenir toutes les contreparties ainsi que leurs opérateurs respectifs.
CONCLUSION
L’identité numérique est au cœur de la certification des échanges électroniques.
La politique de sécurité de l’identité numérique intervient sur toute l’infrastructure de confiance numérique.
La politique de sécurité de l’identité numérique intervient notamment sur le bureau d’enregistrement et sur la mesure ou l’évaluation de la valeur probante de cette identité au regard de la déclaration d’état civil et des pièves justificatives produites et vérifiées.
La politique de sécurité de l’identité numérique intervient également sur les personnes habilitées qui gèrent les opérations de courrier, de transactions, de paiement confiées par le mandant parfaitement identifié dans la chaine de sécurité et de confiance.
La politique de sécurité de l’identité numérique est organisée de telle manière que l’es échanges puissent exister non seulement entre les titulaires domiciliés chez le même opérateur, mais également vis-à-vis des autres opérateurs qui portent les comptes de correspondance de parties adverses.
Un livre blanc 16 / 21
Les politiques de sécurité de l’identité numérique gérées par les opérateurs sont contrôlées par un prestataire de certification et d’interopérabilité qui maitrisent de bout en bout toutes les identités numériques avec leur notation de valeur probante de manière à pouvoir informer instantanément chaque opérateur sur la conformité d’une correspondance dépendant de la notation et le la révocation éventuelle de l’identité numérique d’une contre partie domiciliée chez un opérateur lointain ou étranger.
L’identité numérique et la notation de sa valeur probante est essentielle pour préserver la conformité de toutes les opérations de gestion électronique : document, signature, transmission, et archivage électroniques.
Il est donc essentiel de convenir entre les pays d’une échelle de notation des identités numériques, et d’une échelle de notation des bureaux d’enregistrement afin de préserver la confiance et l’interopérabilité entre les parties à une correspondance de courrier, de transaction ou de paiement en ligne avec la notation de la valeur probante documentaire reconnue.
Il est aussi essentiel d’évaluer la valeur probante des applications dans lesquelles les identités numériques sont utilisées, notamment pour tous les systèmes ou procédés d’authentification personnelle, de composition documentaire, de signature juridique, de transmission informatique, et d’archivage électronique.
Cette évaluation est soit nécessaire pour établir la valeur probante de toute la chaine de dématérialisation transactionnelle, soit parce que les contraintes légales imposent ces niveaux de valeur probante pour la validité et la conformité des transactions.
ANNEXE 1
USURPATION D’IDENTITÉ ET FALSIFICATION DES DONNÉES SUR LES
SERVEURS D’ARCHIVAGE LÉGAL EÉLECTRONIQUE
« Déterminer les vrais propriétaires des avoirs et des créances …
Un livre blanc 17 / 21
ANNEXE 2
AVIS D’OPÉRÉ DANS LEQUEL L’EMPLOYÉ DE LA BANQUE IMITE LA
SIGNATURE DU CLIENT POUR GÉRER UN PORTEFEUILLE BOURSIER SANS
SON ACCORD FORMEL
Un livre blanc 18 / 21
ANNEXE 3
FAUSSE IDENTITÉ NUMÉRIQUE ET COMPTE D’ARCHIVAGE
La banque adresse des extraits de compte à une personne qui n’a jamais ouvert de compte dans cette banque. Manifestement les écritures démontrent qu’il y aurait eu un croisement de fichiers (clients et marketing) puisque les opérations concernent bien un tiers.
ANNEXE 4
PREMIER MARCHÉ MONDIAL DE SERVICES À FORTE VALEUR AJOUTÉE
ESTIMATION DE LA COMMISSION EUROPÉENNE (JUIN 2007)
Économie avec la facture électronique: 247 Milliards €
Économie avec le paiement sécurisé SEPA : 50 Milliards €
Statistiques sur le volume de transactions en Europe :
- Nombre de transactions commerciales à dématérialiser : 60 Milliards (factures)
- Nombre de règlements monétaires : 20 Milliards
- Valeur des transactions commerciales : 50.000 milliards €
Statistiques des entreprises concernées en Europe :
- Entreprises :
o sur 12 États : 17 millions
o sur 29 États : 25 millions
- Entreprises + 250 employés
o sur 12 États : 400.000
Un livre blanc 19 / 21
o sur 29 États : 475.000
- Communautés
o sur 12 États : 15.000
o sur 29 États : 20.000
Réduction des coûts et des risques :
- Pour une lettre recommandée AR : prix passant de 7 € à 3 €
- Pour une facture dématérialisée: prix passant de 5 € à 1€
La réduction de prix s’accompagne d’un renforcement de la sécurité juridique et informatique
ANNEXE 5
Un livre blanc 20 / 21
ANNEXE 6
e-ID RATING AND PROBATIVE VALUE MANAGEMENT
ANNEXE 7
DIGITAL ID LABEL
French government unveils IDeNUM digital ID certificate
(Tuesday 2 February 2010 | 10:57 CET)
French digital economy minister Nathalie Koscuisko-Morizet has unveiled the IDeNum multi-service digital ID label, which will allow internet users to have a single certificate for various private and public sector services. Over 20 partners are involved in the project, including French bank association FBF, insurance industry group FFSA, the postal service, telecom operator SFR and government investment entity Caisse des depots. IDeNum will offer a secure, PIN-based alternative to the widespread user name/password system, where providers use proprietary platforms and end users have to memorise multiple ID details. The minister said that technical documents are set to be released in the middle of the year, with a prototype to become available by December.
GLOSSAIRE
SSEDIC Scoping the Single European Digital Identity Community
Un livre blanc 21 / 21
A PROPOS DES AUTEURS
Éric Blot-Lefevre est Directeur Général et fondateur de TRUSTMISSION, il est également Administrateur de la Fédération Nationale des Tiers de Confiance (FNTC), Administrateur de l’Association Forum ATENA et depuis septembre 2010 membre de l’ECAS (European Commission Authentication Service) au service de la Commission pour e.ID Authentication.
Il est l'auteur avec Jean-Pierre Roumilhac du livre "Les échanges en toute confiance
sur Internet" publié en 2003.
Éric Blot-Lefevre est Docteur Es Sciences Économiques (Cybernétique) et titulaire d’une Maîtrise de Droits des Affaires.
Patrice Sambou est Délégué du WG 5 SSEDIC. Il est est également Gérant de la société INFORMANS
Les idées émises dans ce livre blanc n’engagent que la responsabilité de leurs auteurs et pas celle de Forum ATENA.
La reproduction et/ou la représentation sur tous supports de cet ouvrage, intégralement ou partiellement est
autorisée à la condition d'en citer la source comme suit :
© Forum ATENA 2011 – Traité sur la constitution des identités numériques
Licence Creative Commons
- Paternité
- Pas d’utilisation commerciale
- Pas de modifications
L'utilisation à but lucratif ou commercial, la traduction et l'adaptation sous quelque support que ce soit sont interdites
sans la permission écrite de Forum ATENA.
