La présente Ligne directrice appuie la mise en œuvre des exigences minimales requises pour établir l'identitéNote en bas de page1 d'une personne selon un niveau d'assurance donné. Les niveaux d'assurance de l'identité sont définis à l'annexe B de la Norme sur l'assurance de l'identité et des justificatifs, et les exigences minimales requises pour établir un niveau d'assurance de l'identité sont décrites à la section 6.4.1 et à l'annexe C. Cette Norme a été publiée à l'appui de la Politique sur la sécurité du gouvernement et de la Directive sur la gestion de l'identité.
L'établissement de l'identité consiste en la création d'un document d'identité faisant autorité que d'autres utilisent en toute confiance pour l'accès ultérieur à des activités, programmes et services du gouvernement. La présente Ligne directrice vise à normaliser l'établissement des renseignements sur l'identité des personnes relativement aux programmes et services du gouvernement. La Ligne directrice vise également à promouvoir des pratiques uniformes en matière d'assurance de l'identité, tout en permettant aux organisations gouvernementales de disposer de la souplesse nécessaire pour innover et gérer les risques de façon appropriée. Enfin, la Ligne directrice vise également à contribuer à la mise en œuvre d'une approche progressive pour la fédération de l'identité qui comprend notamment le recours à des services normalisés d'authentification des justificatifs.
La présente Ligne directrice est destinée aux utilisateurs suivants :
La présente Ligne directrice :
On trouvera une liste annotée des politiques, normes, lignes directrices et cadres utilisés à l'appui ou en relation avec l'assurance de l'identité à l'annexe B.
Pour satisfaire aux exigences de la Norme, les organisations gouvernementales élaborent des pratiques de gestion de l'identité et d'autres outils de manière à mettre en œuvre une approche cohérente, uniforme, normalisée et interopérable à l'échelle du gouvernement du Canada. Ces pratiques et outils seront partagés dans GCpédia et pourront être incorporés à de futures versions de la présente Ligne directrice.
L'identité constitue l'élément central de la majorité des processus opérationnels du gouvernement, et forme le point de départ pour l'établissement de la confiance dans les interactions entre le public et le gouvernement. Après l'établissement des renseignements sur l'identité relatifs à une personne, toutes les activités subséquentes du gouvernement, allant de la prestation de services à l'octroi d'avantages et d'admissibilité, seront fondées sur l'exactitude et l'utilisation légitime de ces renseignements. Dans le cas de nombreuses rencontres de service ou transactions avec des clients, les organisations gouvernementales doivent veiller à ce qu'elles interagissent réellement avec la personne appropriée de manière à réaliser leurs objectifs en matière de prestation de leurs programmes et services. Par exemple, lorsqu'une personne fait une demande de passeport canadien, elle doit produire certains documents pour faire la démonstration de son identité.
La gestion des renseignements sur l'identité est une responsabilité partagée entre les différents ordres de gouvernements au Canada. Il existe de nombreuses sources autorisées par différentes lois et réglementations fédérales, provinciales et territoriales qui recueillent des renseignements relatifs aux personnes, tels que les données de l'état civil, la situation juridique ou professionnelle et l'admissibilité à différents avantages. Dans la plupart des cas, un document ou certificat est délivré à la personne, qui l'utilisera ensuite pour faire la preuve de son identité et des renseignements personnels connexes.
Au Canada, il n'existe aucun document dont la seule raison d'être est de confirmer l'identité d'une personne. On utilise plutôt une série de documents délivrés par différents ordres de gouvernements. Cette approche décentralisée a permis jusqu'à présent d'offrir des services appropriés aux Canadiens. Cependant, elle peut poser des difficultés lorsqu'il s'agit d'offrir une expérience de service uniformisée entre les différents ordres de gouvernements et de lutter contre les activités frauduleuses.
Les documents matériels constituent encore maintenant le mode prédominant de présentation d'une preuve d'identité pour accéder aux programmes et services du gouvernement du Canada. Alors que les méthodes numériques sont de plus en plus souvent utilisées, des représentations numériques de l'identité peuvent être acceptées en remplacement de documents matériels. Les gouvernements sont conscients des économies de coûts possibles pouvant résulter de l'utilisation de solutions numériques et d'une infrastructure commune. Alors que les programmes et services gouvernementaux sont de plus en plus interconnectés et interdépendants, il devient beaucoup plus important de gérer le risque lié à l'identité de façon collaborative, au-delà des frontières des organisations et des administrations.
En 2011, pour tenir compte de cet environnement en évolution, le gouvernement du Canada a publié le document Fédérer la gestion de l'identité au gouvernement du Canada : Une mise en contexte, qui décrit une vision et une approche globale qui permet à la confiance-établie par les processus internes de gestion de l'identité-de franchir encore davantage les frontières organisationnelles au sein du gouvernement du Canada et avec les autres administrations. Dans le cadre de ce document, plusieurs concepts clés ont été définis officiellement, notamment « l'assurance de l'identité » et « l'assurance des justificatifs », et ils ont par la suite été officialisés dans des instruments de politique subséquents du Conseil du Trésor.
Les instruments de politique du Conseil du Trésor en matière d'identité comprennent une directive, une norme et deux lignes directrices publiées en vertu de la Politique sur la sécurité du gouvernement.
La section 3 de la présente Ligne directrice explique en détail comment satisfaire à ces exigences.
La grande majorité des programmes et services gouvernementaux doivent s'assurer de bien identifier les personnes avec qui ils interagissent. En ce qui a trait aux services externes, la personne est normalement un client d'un programme ou service gouvernemental. Pour ce qui est des services internes, la personne est un employé, ou un fonctionnaire agissant au nom d'une organisation gouvernementale.
Ces différents contextes peuvent donner lieu à des risques distincts qui doivent être gérés différemment. Par exemple, le fait de ne pas confirmer correctement la bonne personne comme étant un client peut mener au versement de prestations à la mauvaise personne (un risque pour l'intégrité des programmes). De même, le fait de ne pas confirmer correctement la bonne personne comme étant un employé peut mener à la divulgation non autorisée de renseignements (un risque pour la sécurité de l'information ou une atteinte à la vie privée, si des renseignements personnels venaient à être divulgués). Peu importe le contexte, on peut utiliser les principes de l'assurance de l'identité pour s'assurer systématiquement qu'une organisation gouvernementale transige bien avec la bonne personne.
Par définition, « l'assurance de l'identité » est une mesure de la certitude (ou un degré de confiance) qu'une personne, une organisation ou un appareil est bien celui qu'il affirme être. On utilise l'assurance de l'identité pour répondre à la question « À quel degré êtes-vous sûr d'être confronté à la bonne personne/à la bonne organisation/au bon appareil? ».Note en bas de page2
En plus de faciliter la gestion du risque, une approche normalisée à l'assurance de l'identité permet aux personnes d'interagir avec les programmes et services gouvernementaux qui utilisent, ou qui comptent sur, des processus d'établissement de l'identité exécutés par une autre entité. Par exemple, une personne peut faire la preuve de son identité une seule fois, en fonction d'exigences normalisées, et par la suite de nombreux autres programmes et services pourront se fier à l'identité établie antérieurement pour cette personne. Ceci constitue le principe fondateur de la fédération, qui est décrite plus en détail à la section 3.9 du présent document.
Des niveaux multiples d'assurance de l'identité permettent aux programmes et services gouvernementaux d'effectuer des opérations en fonction du niveau de risque. Dans le cas de certains services, le niveau de risque est faible tandis que pour d'autres services, il peut être plus élevé. Par exemple, le niveau de risque associé à la prestation d'information météorologique personnalisée à une personne est faible, tandis que le niveau de risque associé à l'acceptation d'une demande de passeport est plus élevé.
Les différents niveaux d'assurance de l'identité permettent aussi aux organisations gouvernementales de gérer leurs coûts et de concevoir des solutions optimales fondées sur des services ou capacités normalisés pour des niveaux d'assurance différents (ou plus faibles) tout en gérant de façon appropriée le risque résiduel.
Le Tableau 1 décrit les niveaux d'assurance de l'identité définis dans la Norme sur l'assurance de l'identité et des justificatifs.
Niveau | Description |
---|---|
4 | Besoin d'un niveau très élevé d'assurance que la personne est celle qu'elle affirme être. |
3 | Besoin d'un niveau élevé d'assurance que la personne est celle qu'elle affirme être. |
2 | Besoin d'un certain niveau d'assurance que la personne est celle qu'elle affirme être. |
1 | Besoin d'un faible niveau d'assurance que la personne est celle qu'elle affirme être. |
Les niveaux normalisés sont numérotés de un à quatre; chaque niveau décrit un degré de confiance requis qui correspond à une plage de préjudices potentiels pouvant survenir si le niveau d'assurance correspondant n'est pas atteint et maintenu. La section 3.2 du présent document explique comment une organisation gouvernementale doit déterminer le niveau d'assurance de l'identité requis.
Il faut exécuter dans un premier temps une évaluation du niveau d'assurance afin de déterminer le niveau d'assurance requis. Le document d'accompagnement, la Ligne directrice sur la définition des exigences en matière d'authentification, décrit un processus en deux étapes utilisé pour déterminer le niveau requis.
La figure 1 présente une vue globale du processus d'évaluation du niveau d'assurance requis et des processus de conception TI dans le contexte des lignes directrices connexes du gouvernement du Canada.
Figure 1. Contexte des lignes directrices connexes du gouvernement du Canada
La Ligne directrice sur la définition des exigences en matière d'authentification décrit le processus d'évaluation en deux étapes :
La Ligne directrice sur la définition des exigences en matière d'authentification présente aussi des recommandations au sujet d'autres mécanismes d'atténuation des risques.
La présente section décrit en détail la mise en œuvre des exigences spécifiées à l'annexe C de la Norme sur l'assurance de l'identité et des justificatifs.
On utilise quatre catégories d'exigences pour établir un niveau d'assurance de l'identité. Les quatre catégories sont indiquées ci-dessous, accompagnées d'un énoncé de haut niveau de l'objectif de contrôle et d'une brève description.
Par souci de commodité, le tableau 2 de l'annexe C de la Norme sur l'assurance de l'identité et des justificatifs est reproduit ici. Le tableau 2 présente les exigences minimales par catégorie liées à chaque niveau d'assurance.
Exigence | Niveau 1 | Niveau 2 | Niveau 3 | Niveau 4 |
---|---|---|---|---|
Unicité | Définir les renseignements sur l'identité | Définir les renseignements sur l'identité | Définir les renseignements sur l'identité | Définir les renseignements sur l'identité |
Preuve de l'identité | Aucune restriction quant à ce qui peut être fourni à titre de preuve de l'identité | Une preuve de l'identité | Deux preuves de l'identité | Trois preuves de l'identité |
Exactitude de l'information confirmant l'identité | Acceptation de l'affirmation de soi à titre de confirmation des renseignements sur l'identité | Information sur l'identité correspond de façon acceptable à l'affirmation par une personne et à la preuve de l'identité et Confirmation que la preuve de l'identité provient d'une autorité compétente | Information sur l'identité correspond de façon acceptable à l'affirmation par une personne et à toutes les preuves de l'identité et Confirmation de la preuve de l'identité à l'aide d'une source faisant autorité et Confirmation que la preuve de l'identité provient d'une autorité compétente, à l'aide d'une source faisant autorité | Information sur l'identité correspond de façon acceptable à l'affirmation par une personne et à toutes les preuves de l'identité et Confirmation de la preuve de l'identité à l'aide d'une source faisant autorité et Confirmation que la preuve de l'identité provient d'une autorité compétente, à l'aide d'une source faisant autorité |
Lien entre l'information confirmant l'identité et la personne | Aucune exigence | Aucune exigence | Au moins un des éléments suivants :
| Au moins trois des éléments suivants :
|
L'unicité permet de veiller à ce que les personnes puissent être distinguées les unes des autres et que le bon service soit dispensé à la bonne personne au bon moment. L'unicité réduit le risque que la mauvaise personne reçoive un service ou touche une prestation destinés à quelqu'un d'autre.
L'unicité est nécessaire dans les situations où un service doit fournir un produit ou une prestation à une personne spécifique - par exemple, la même personne qui s'était précédemment enregistrée ou inscrite. Dans certaines situations, l'identité d'une personne n'est pas requise ni même souhaitée, comme par exemple l'identité d'un répondant à une enquête.
L'unicité, par elle-même, ne détermine pas l'admissibilité ou la qualification à un service ou une prestation. Néanmoins, les renseignements recueillis pour déterminer l'unicité peuvent également être utilisés à des fins de détermination de l'admissibilité ou de la qualification et peuvent donc être assujettis à d'autres exigences législatives et exigences relatives au respect de la vie privée. Dans les situations où une transaction comporte au moins deux motifs (par exemple, pour déterminer à la fois l'identité et une qualification), les utilisations prévues des renseignements recueillis doivent être clairement indiquées.
Les organisations gouvernementales mettent leurs programmes ou leurs services en œuvre dans un environnement donné ou en fonction d'un éventail de circonstances qu'on appelle le contexte de l'identité. Le contexte de l'identité est déterminé plus spécifiquement par des facteurs comme le mandat, la population cible (c'est-à-dire les clients) et d'autres responsabilités stipulées dans des lois ou des accords.
La compréhension et la définition du contexte de l'identité aident les organisations gouvernementales à déterminer les exigences en matière d'unicité. Le contexte de l'identité aide à déterminer quels renseignements sur l'identité sont requis et lesquels ne le sont pas. Il aide également à déterminer des points communs avec d'autres organisations gouvernementales ou d'autres administrations, et à établir si les renseignements sur l'identité et les processus d'assurance peuvent être exploités d'un contexte à l'autre.
Le contexte de l'identité peut être envisagé selon le point de vue de la personne, de l'organisation gouvernementale ou du gouvernement du Canada. Par exemple, un contexte de l'identité peut être l'ensemble des services externes offerts aux citoyens, ou encore l'ensemble des services internes offerts aux employés.
Il est recommandé que les organisations gouvernementales tiennent compte des éléments suivants lorsqu'elles définissent ou spécifient le contexte de l'identité pour un programme ou service spécifique :
Le terme « identité » est défini dans la Norme sur l'assurance de l'identité et des justificatifs comme une référence ou une désignation utilisée pour faire la distinction entre une personne, une organisation ou un appareil unique et précis.Note en bas de page3
Les renseignements sur l'identité sont jugés être valides dans un contexte de l'identité spécifique (voir la section 3.3.2). Dans un contexte de l'identité, il est essentiel de pouvoir distinguer les personnes les unes des autres, de manière à ce que les services soient dispensés aux bonnes personnes.
Conformément à la Directive sur la gestion de l'identité, il incombe aux organisations gouvernementales de vérifier la légitimité d'une identité lorsque :
Une propriété ou caractéristique associée à une personne identifiable est appelée attribut d'identité ou élément de donnée sur l'identité. Les « renseignements sur l'identité »constituent l'ensemble des attributs d'identité qui sont à la fois :
L'attribut d'identité ou l'ensemble d'attributs d'identité utilisé pour distinguer une personne, une organisation ou un appareil unique et particulier peut aussi constituer un identificateur. Il est recommandé d'utiliser les mêmes attributs d'identité en tant qu'identificateurs ou de les utiliser de manière continue au fil du temps. Dans de nombreuses situations, la continuité n'est pas possible, et les organisations gouvernementales peuvent alors choisir de créer ou d'utiliser un identificateur attribué. Cet identificateur est normalement constitué d'une chaîne numérique ou alphanumérique qui est générée automatiquement et qui permet de faire une distinction entre deux ou plusieurs personnes sans recourir à d'autres attributs d'identité.
On peut utiliser des attributs additionnels pour mieux distinguer des personnes similaires ou pour faciliter la reconnaissance d'une personne spécifique. Ces attributs ne sont pas nécessairement propres à une seule personne (par exemple, la couleur des cheveux et la taille) ou peuvent changer au fil du temps.
Au moment de définir ou de déterminer la suffisance de renseignements sur l'identité pour un contexte spécifique de prestation d'un service ou d'administration d'un programme, les organisations gouvernementales, pour des raisons de protection de la vie privée, doivent faire une distinction entre les renseignements sur l'identité et les renseignements personnels propres au programme, car il peut y avoir chevauchement entre les deux. Cette distinction permet de veiller à ce que l'utilisation des renseignements sur l'identité soit conforme aux fins pour lesquelles les renseignements sur l'identité ont été recueillis à l'origine et que lesdits renseignements puissent être gérés séparément ou bénéficier d'une protection supplémentaire grâce à des contrôles appropriés de sécurité et de protection de la vie privée.Note en bas de page5
Afin de réduire au minimum les risques liés à la vie privée, les organisations gouvernementales doivent éliminer dans la mesure du possible les chevauchements entre les renseignements sur l'identité et les renseignements personnels propres au programme. Cependant, dans les situations où un chevauchement est nécessaire, une bonne pratique consiste à décrire les deux utilisations. Par exemple, la date de naissance peut être utilisée à la fois pour confirmer l'unicité de l'identité (en tant que renseignement sur l'identité) et comme critère d'admissibilité en fonction de l'âge (en tant que renseignement personnel propre au programme).
Les éléments suivants doivent être pris en considération pour déterminer la suffisance de renseignements sur l'identité :
Une preuve de l'identité est un enregistrement de données conservé par une source faisant autorité qui appuie l'intégrité et l'exactitude des affirmations d'identité formulées par une personne. La nature d'une preuve suffisante de l'identité dépend du niveau d'assurance requis, comme l'illustre le tableau 2.
La Norme sur l'assurance de l'identité et des justificatifs définit deux catégories de preuves de l'identité :
Pour la définition des exigences ou procédures opérationnelles, une bonne pratique consiste à désigner les documents par leur nom spécifique (par exemple, passeport, permis de conduire), référant à leur raison d'être originale, plutôt que par la désignation générale « documents d'identité ».
Il est recommandé que les organisations gouvernementales utilisent les preuves de l'identité uniquement aux fins suivantes :
Il est recommandé que les organisations gouvernementales mettent en place des processus qui leur permettent de veiller à ce que les renseignements sur l'identité d'une personne :
Dans certaines situations, les renseignements sur l'identité recueillis en tant que preuves de l'identité (par exemple, âge, lieu de résidence, statut de citoyen) peuvent aussi être utilisés pour déterminer l'admissibilité ou la qualification à un programme. Les organisations gouvernementales doivent veiller à ce que toute utilisation additionnelle de tels renseignements sur l'identité soit bien permise par les lois applicables.
Une preuve de l'identité peut être présentée ou acceptée sous les formes suivantes :
Les exigences en matière de preuve de l'identité spécifiées au tableau 3 sont indépendantes de la forme dans laquelle la preuve est présentée. De plus, les différentes preuves de l'identité, lorsque des preuves multiples sont exigées, doivent provenir de, ou être émises par, des sources faisant autorité différentes.
Le tableau 3 présente les critères d'acceptabilité pour les preuves de l'identité essentielles et les preuves à l'appui de l'identité. Les organisations gouvernementales doivent adapter les critères d'acceptabilité au contexte de prestation de leur programme ou service spécifique.
Catégorie de preuve de l'identité | Critères d'acceptabilité et exemples |
---|---|
Table 3 Notes
| |
Preuves de l'identité essentielles | Critères d'acceptabilité :
Sources faisant autorité, enregistrements et documents acceptables :
|
Preuves à l'appui de l'identité | Critères d'acceptabilité :
Si elle est acceptée en conjonction avec des preuves de l'identité essentielles (Niveau 3 et Niveau 4) :
Sources faisant autorité, enregistrements et documents acceptables :
|
Les enfants, les mineurs et autres personnes vulnérables sont plus susceptibles d'être exploités à des fins criminelles, et la falsification de leurs documents peut mener à des conséquences plus graves. La prestation de services à ces personnes comporte souvent des circonstances spéciales et des facteurs de risque additionnels. Par exemple :
Il est recommandé que les organisations gouvernementales appliquent les lignes directrices suivantes pour la prestation de services à des enfants, des mineurs et autres personnes vulnérables :
Un programme gouvernemental peut décider d'inclure des exigences en matière de preuve de l'identité pour un parent ou un tuteur dans ses exigences en matière de preuve de l'identité pour l'enfant, le mineur ou autre personne vulnérable. Par exemple, le passeport d'un parent pourrait être utilisé comme preuve à l'appui de l'identité de l'enfant.
On notera que les recommandations présentées dans la présente section ne désignent pas le représentant autorisé qui peut agir au nom d'autres personnes - par exemple, des parents agissant pour le compte d'enfants, ou des avocats agissant pour le compte de demandeurs.
Le Tableau 4 présente les lignes directrices à respecter pour la détermination des preuves de l'identité à fournir selon les différents niveaux d'assurance présentés au tableau 3. Les critères sont indépendants du format (papier ou électronique) dans lequel les preuves sont présentées.
Niveau d'assurance | Exigences formulées à l'annexe C de la Norme | Lignes directricesTable 4 note * |
---|---|---|
Table 4 Notes
| ||
Niveau 1 | Aucune restriction quant à ce qui peut être fourni à titre de preuve de l'identité |
|
Niveau 2 | Une preuve de l'identité |
|
Niveau 3 | Deux preuves de l'identité (dont au moins une doit être une preuve de l'identité essentielle) |
|
Niveau 4 | Trois preuves de l'identité (dont au moins une doit être une preuve de l'identité essentielle) |
|
Les exigences en matière d'exactitude permettent d'assurer la qualité des renseignements sur l'identité. Les renseignements sur l'identité doivent représenter la personne avec véracité et doivent être complets et à jour. Afin d'assurer l'exactitude des renseignements sur l'identité, il faut prendre en considération les facteurs suivants :
La validation de l'identité est le processus permettant de confirmer l'exactitude des renseignements sur l'identité tels qu'établis par une partie ayant autoritéNote en bas de page7. Tout dépendant des exigences propres au programme ou service et des considérations relatives à la protection des renseignements personnels, les organisations gouvernementales peuvent valider les renseignements sur l'identité au moyen de différentes sources faisant autorité. Par exemple, une date de naissance peut être validée électroniquement en consultant un registre provincial de la statistique de l'état civil.
S'il n'est pas possible de valider des renseignements sur l'identité en consultant une source faisant autorité, on peut utiliser d'autres méthodes, comme la corroboration des renseignements en utilisant une ou plusieurs preuves de l'identité. Il est recommandé aux organisations gouvernementales de tenir compte des considérations relatives aux fraudes décrites à la section 3.7.2.
Lorsque les sources faisant autorité ne font pas partie des administrations canadiennes, l'exactitude des renseignements sur l'identité sera établie grâce à une approche fondée sur la gestion des risques.
La détermination de l'exactitude des renseignements sur l'identité nécessite de confirmer que la personne existe actuellement ou a déjà existé (était en vie mais est maintenant décédée). Les renseignements sur l'identité doivent être liés à une personne réelle (vivante ou décédée) et non pas à une personne inexistante ou erronée.
L'exactitude des renseignements sur l'identité ne dépend aucunement du fait que la personne soit vivante ou décédée. Les renseignements sur l'identité d'une personne ne disparaissent pas après son décès. Après son décès, il sera particulièrement important que les renseignements sur l'identité d'une personne soient utilisés correctement par les personnes autorisées par exemple, par le conjoint survivant ou l'exécuteur testamentaire.
Des éléments comme la graphie et les variations phonétiques, les changements de nom et des alphabets différents peuvent compliquer la validation de l'exactitude de certains renseignements sur l'identité. Dans ces circonstances, il peut être difficile de stipuler des critères de correspondance exacte. Il pourrait être nécessaires pour les organisations gouvernementales de recourir à des méthodes de correspondance approximative ou de correspondance statistique pour déterminer s'il y a correspondance acceptable entre des renseignements sur l'identité et un enregistrement qui fait autorité.
Un identificateur attribué (voir la section 3.3.3) repose toujours sur une correspondance exacte. Dans les situations où l'intégrité d'un identificateur peut être déterminée au moyen d'un algorithme mathématique (p. ex., une somme de contrôle), il convient d'utiliser cette méthode dans le cadre du processus de validation.
Le tableau 5 présente des lignes directrices sur la détermination des exigences en matière d'exactitudes des renseignements sur l'identité présentées au tableau 1. Ces lignes directrices s'appliquent uniquement à l'établissement de l'exactitude des renseignements sur l'identité.
Niveau d'assurance | Exigences stipulées à l'annexe C de la Norme | Lignes directricesTable 5 note * |
---|---|---|
Table 5 Notes
| ||
Niveau 1 | Acceptation de l'affirmation de soi à titre de confirmation des renseignements sur l'identité |
|
Niveau 2 | Information sur l'identité correspond de façon acceptable à l'affirmation par une personne et à la preuve de l'identité et Confirmation que la preuve de l'identité provient d'une autorité compétente |
|
Niveau 3 | Information sur l'identité correspond de façon acceptable à l'affirmation par une personne et à toutes les preuves de l'identité et Confirmation de la preuve de l'identité essentielle à l'aide d'une source faisant autorité et Confirmation que la preuve à l'appui de l'identité provient d'une autorité compétente, à l'aide d'une source faisant autorité ou Inspection par un examinateur d'expérience |
|
Niveau 4 | Information sur l'identité correspond de façon acceptable à l'affirmation par une personne et à toutes les preuves de l'identité et Confirmation de la preuve de l'identité essentielle à l'aide d'une source faisant autorité et Confirmation que la preuve à l'appui de l'identité provient d'une autorité compétente, à l'aide d'une source faisant autorité ou Inspection par un examinateur d'expérience |
|
Les exigences en matière de liens avec une personne permettent de veiller à ce que les renseignements sur l'identité concernent bel et bien la personne qui fait l'affirmation. Les liens permettent de veiller à ce que les renseignements sur l'identité se rapportent bien à une personne réelle qui utilise ses propres renseignements sur l'identité - c'est-à-dire que les renseignements sur l'identité ne sont pas utilisés frauduleusement par un imposteur.
Le processus de détermination des liens avec une personne est habituellement exécuté lorsqu'une personne sans relation ou association antérieure avec un programme ou service entreprend une transaction pour la première fois. Par exemple, une première rencontre avec un processus d'inscription à un programme ou un service nécessite normalement que la personne produise une preuve de son identité.
Le processus de détermination des liens avec une personne est aussi appelé « vérification de l'identité ». La vérification de l'identité est un processus différent de la validation de l'identité. La vérification de l'identité est le processus permettant de confirmer que les renseignements sur l'identité présentés concernent bel et bien la personne qui fait l'affirmation.
La Norme sur l'assurance de l'identité et des justificatifs décrit quatre méthodes pouvant être utilisées pour déterminer les liens avec une personne.Note en bas de page8
Les organisations gouvernementales doivent déterminer quelle méthode ou combinaison de méthodes elles utiliseront pour déterminer les liens en fonction des exigences de leur programme. Dans la sélection des méthodes appropriées, ils doivent tenir compte des considérations pertinentes en matière d'opérations, de protection de la vie privée et de questions juridiques.
Type de méthode | Exemples de méthode |
---|---|
Notes du tableau 6
| |
Confirmation basée sur les connaissances |
|
Confirmation des caractéristiques biologiques ou comportementales |
|
Confirmation par un arbitre de confianceNote du tableau 6 * |
|
Physical possession confirmation |
|
Le tableau 7 présente les lignes directrices sur la sélection d'une méthode permettant de confirmer les liens entre des renseignements sur l'identité et une personne spécifique.
Niveau d'assurance | Exigences | Lignes directricesNote du tableau 7 * |
---|---|---|
Notes du tableau 7
| ||
Niveau 1 | Aucune exigence |
|
Niveau 2 | Aucune exigence |
|
Niveau 3 | Au moins une des méthodes suivantes :
|
|
Niveau 4 | Au moins trois des méthodes suivantes :
|
|
Les principes de gestion du risque lié à l'identité sont similaires à ceux employés pour d'autres risques ministériels; cependant, il faut tenir compte de certains facteurs spécifiques propres à l'identité :
Les facteurs de risque ci-dessous sont liés à l'identité des personnes :
Les organisations gouvernementales doivent se familiariser avec les différentes méthodes employées par les fraudeurs, puisque ces méthodes peuvent poser des risques pour le respect des exigences stipulées dans la Norme sur l'assurance de l'identité et des justificatifs.
La fraude fondée sur des documents repose sur l'acquisition, la production ou l'altération frauduleuse de documents délivrés par une autorité. Ce type de fraude comporte plusieurs techniques :
La fraude fondée sur des enregistrements repose sur la création, l'insertion, l'altération ou la suppression non autorisées d'enregistrements faisant autorité qui sont sous le contrôle d'une institution. La création de faux enregistrements ou l'altération d'enregistrements existants peut donner lieu à la délivrance de documents ou de droits qui ne sont pas légitimes. Ce type de fraude comporte plusieurs techniques :
La fraude fondée sur un imposteur repose sur l'utilisation frauduleuse des renseignements sur l'identité relatifs à une autre personne, que cette personne soit réelle ou fictive. Ce type de fraude comporte plusieurs techniques :
Les exigences en matière de niveaux d'assurance de l'identité s'inscrivent habituellement dans un ensemble plus exhaustif d'exigences liées à un programme ou service qui sont elles-mêmes intégrées à des processus ou systèmes opérationnels plus généraux. La présente section décrits différents facteurs à prendre en considération pour intégrer les exigences en matière de niveaux d'assurance de l'identité aux processus ou systèmes opérationnels. Par exemple, un ministère peut décider d'intégrer ces exigences à un processus d'inscription des clients à l'appui d'un programme spécifique. Un autre ministère peut décider de mettre en œuvre les exigences en créant un processus d'assurance de l'identité qui pourra être incorporé à de nombreux programmes et services.
Quelle que soit l'approche d'intégration retenue, les organisations gouvernementales doivent être en mesure de démontrer comment elles satisfont aux exigences en matière de niveaux d'assurance de l'identité déterminées pour leurs programmes et services.
Pour la mise en œuvre des exigences en matière d'assurance de l'identité, il est recommandé que les organisations gouvernementales tiennent compte des facteurs suivants :
Une fédération est un accord de coopération entre des entités autonomes qui ont convenu de travailler ensemble. Elle peut se composer d'organisations des secteurs public et privé, de différents ordres de gouvernements ou de pays multiples. De nombreuses fédérations sont de nature plus informelle : elles sont fondées sur des pratiques partagées et des objectifs communs qui ont été élaborés au fil du temps. Alors que ces fédérations informelles prennent de la maturité, leurs ententes informelles sont remplacées par des cadres de fiabilité et des processus d'évaluation convenus par toutes les parties qui englobent des ententes contractuelles, des ententes de service, des obligations juridiques ainsi que des mécanismes de règlement des différends.
Les fédérations deviennent une option particulièrement intéressante lorsqu'il existe une nécessité opérationnelle de fournir des services en ligne de façon transparente à travers les frontières ministérielles et juridictionnelles, en englobant des fournisseurs des secteurs public et privé. Combler de tels besoins nécessite un niveau de confiance entre divers types d'organisations qui peuvent avoir des mandats divergents et relever d'autorités différentes. Un cadre de fiabilité stipule la conformité aux normes convenues par les parties, officialise les processus d'évaluation et définit les rôles et les responsabilités des parties.
Le gouvernement du Canada s'est engagé à aider les partenaires fédéraux, provinciaux, territoriaux et municipaux à respecter les exigences associées à leurs programmes et services respectifs, en utilisant des processus communs fiables.
Le gouvernement du Canada collabore avec les autres ordres de gouvernements à l'élaboration d'une approche pancanadienne à la fédération de l'identité qui respecte l'autonomie et les lois des différents ordres de gouvernements. En novembre 2014, la Table des SM FPT sur la collaboration en matière de prestation de services a approuvé la Norme pancanadienne sur la validation de l'identité,Note en bas de page9 qui uniformise les demandes et réponses de validation des renseignements sur l'identité et des renseignements personnels échangées par les organisations fédérales, provinciales, territoriales et municipales.
Il est recommandé que les organisations gouvernementales incorporent la Norme pancanadienne sur la validation de l'identité à la planification de la mise en œuvre de leurs programmes et services.
La présente Ligne directrice peut servir de cadre pour aider une organisation gouvernementale à adopter un modèle fédératif et à compter sur des services fiables assurés par d'autres organisations. Plutôt que de mettre en œuvre elle-même les exigences nécessaires en matière d'assurance de l'identité, une organisation gouvernementale pourra choisir d'adopter un modèle fédératif. Cependant, avant de devenir membre d'une fédération, une organisation gouvernementale doit veiller à ce que certains éléments clés du modèle fédératif soient mis en œuvre au sein de son propre contexte organisationnel, plus spécifiquement les rôles de la partie ayant autorité et de la partie en confiance.
Une partie ayant autorité est définie dans la Norme sur l'assurance de l'identité et des justificatifs comme un membre de la fédération qui offre des assurances (de justificatifs ou d'identité) à d'autres membres (parties en confiance). Une partie en confiance est un membre de la fédération qui reçoit des assurances (de justificatifs ou d'identité) d'autres membres (parties ayant autorité). Une unité d'une organisation peut assumer le rôle d'une partie ayant autorité, tandis que les autres unités assument le rôle de la partie en confiance. Par exemple, un système ministériel de ressources humaines (RH) pourra jouer le rôle de la partie ayant autorité en ce qui concerne les renseignements sur les employés, tandis que le système ministériel de sécurité responsable de la délivrance des cartes d'identification des employés jouera le rôle de la partie en confiance.
Le Tableau 8 décrit les principaux facteurs à prendre en considération dans la sélection des unités qui assumeront les rôles de la partie ayant autorité et de la partie en confiance.
Rôle organisationnel | N'est pas membre d'une fédération | Est membre d'une fédération |
---|---|---|
Assume le rôle d'une partie ayant autorité | Facteurs à prendre en considération pour l'organisation :
Les organisations doivent :
Exemple : Un système ministériel de RH qui tient à jour des dossiers d'employés faisant autorité. | Facteurs à prendre en considération pour l'organisation :
Les organisations doivent :
|
Assume le rôle d'une partie en confiance | Facteurs à prendre en considération pour l'organisation :
Les organisations doivent :
Exemple : Un système ministériel de sécurité qui compte sur des dossiers d'employés faisant autorité tenus à jour par un système ministériel de RH. | Facteurs à prendre en considération pour l'organisation :
Les organisations doivent :
|
Le gouvernement du Canada participe à l'élaboration d'un cadre de fiabilité pancanadien qui facilitera la collaboration avec les autres administrations et l'évaluation des cadres de fiabilité de l'industrie en vue de leur utilisation par le gouvernement du Canada. La Norme sur l'assurance de l'identité et des justificatifs, ainsi que la présente Ligne directrice, feront partie intégrante de ce cadre de fiabilité. Les organisations gouvernementales peuvent avoir la certitude que la Norme et son cadre d'application ont été conçus pour appuyer l'adoption des cadres de fiabilité existants et émergeants.
En mettant en œuvre les exigences relatives à l'assurance de l'identité, les organisations gouvernementales doivent s'assurer de respecter les autres instruments de politique et lois applicables. Par exemple, une autre politique peut stipuler qu'une organisation gouvernementale doit utiliser un identificateur attribué spécifique ou peut permettre uniquement la collecte d'un ensemble spécifique d'attributs pouvant être utilisés comme renseignements sur l'identité.
En mettant en œuvre les exigences en matière d'assurance de l'identité, les organisations gouvernementales doivent respecter la Loi sur la protection des renseignements personnels et la Politique sur la protection de la vie privée. Elles doivent tenir compte du droit des personnes à la vie privée, tout en assurant l'accès à leurs renseignements personnels et en s'assurant de leur exactitude.
Les renseignements relatifs à un particulier identifiable sont considérés comme étant des renseignements personnels et sont donc assujettis à la Loi sur la protection des renseignements personnels. La collecte, l'utilisation, la divulgation ou l'élimination de renseignements sur l'identité doivent être conformes à la Loi sur la protection des renseignements personnels et à la loi habilitante du ministère. Tous les renseignements sur l'identité doivent être considérés comme un sous-ensemble des « renseignements personnels », tels que définis par la Loi sur la protection des renseignements personnels. Les organisations gouvernementales sont invitées à consulter leurs conseillers juridiques afin de veiller à ce que leur gestion des renseignements sur l'identité respecte leur loi habilitante.
La Politique sur la protection de la vie privée et ses directives, normes et lignes directrices connexes relatives à la vie privée s'appliquent également aux renseignements sur l'identité. Les organisations gouvernementales doivent cerner, évaluer, surveiller et atténuer les risques liés à la vie privée pouvant découler de la création, la collecte, l'utilisation, la conservation, la divulgation et l'élimination de renseignements sur l'identité.
Il importe que les organisations gouvernementales fassent la distinction entre les renseignements recueillis à l'appui des exigences en matière d'assurance de l'identité et les autres renseignements personnels qui sont recueillis, utilisés, conservés et éliminés dans le contexte d'un programme ou service spécifique. Une distinction insuffisante entre les renseignements sur l'identité et les renseignements propres à un programme ou service pourrait avoir des incidences sur la vie. Ceci est particulièrement important, par exemple, lorsque des renseignements sur l'identité sont recueillis et utilisés à l'appui de plusieurs services connexes.
Des renseignements sur l'identité peuvent être recueillis, utilisés, conservés, divulgués et éliminés dans le cadre d'un processus opérationnel plus général, par exemple le traitement des inscriptions ou la détermination de l'admissibilité. Si les renseignements sur l'identité doivent être extraits de renseignements existants propres à un programme, les organisations gouvernementales doivent s'assurer de respecter la Politique sur la protection de la vie privée, notamment en veillant à ce que l'utilisation des renseignements sur l'identité est conforme à la ou aux raisons d'être originales pour lesquelles les renseignements avaient été obtenus ou compilés.
Il existe de nombreuses façons de protéger les renseignements sur l'identité, par exemple le stockage des enregistrements dans des dépôts de données différents, le chiffrement des données et la substitution ou le mappage des identificateurs. Peu importe le mécanisme utilisé, les renseignements obtenus doivent être traités comme des renseignements personnels.
Les organisations gouvernementales fédérales doivent respecter la Politique sur les services. En mettant en œuvre les exigences en matière d'assurance de l'identité, les organisations gouvernementales doivent évaluer la conception de services fortement axés vers le client qui sont à la fois intégrés, simples, pratiques et fournis en temps opportun.
Les organisations gouvernementales, lorsqu'elles élaborent de nouveaux services et transforment leurs services existants, sont invitées à pousser leur réflexion au-delà des processus fondés sur les documents et des mises en œuvre fondées sur des technologies spécifiques. Afin d'assurer leur participation au sein d'une fédération élargie de gestion de l'identité, les organisations gouvernementales sont également invitées à normaliser les pratiques, processus et technologies qui peuvent être déployés au-delà de leur propre organisation selon une approche qui permet néanmoins de préserver la confiance et l'intégrité.
Pour obtenir de plus amples renseignements sur le respect des exigences en matière de prestation de services, veuillez consulter la Politique sur les services.
Les organisations gouvernementales doivent se familiariser avec l'applicabilité potentielle des sections suivantes du Code criminel, notamment les définitions de « pièce d'identité » et de « renseignements sur l'identité » telles qu'elles s'appliquent dans le contexte du Code :
En plus des politiques et lois susmentionnées, les organisations gouvernementales doivent déterminer si d'autres instruments de politique ou lois peuvent s'appliquer dans leur contexte spécifique.
Pour obtenir de plus amples détails sur ces instruments et d'autres ressources, y compris des documents de l'industrie et des documents internationaux, veuillez consulter l'annexe B.
La présente Ligne directrice sera réexaminée et mise à jour au besoin.
Si vous souhaitez obtenir une interprétation de tout aspect de la présente Ligne directrice, veuillez communiquer avec le Bureau des demandes de renseignements du public du Secrétariat du Conseil du Trésor.
Les principaux termes utilisés dans la présente Ligne directrice sont fondés sur des définitions qui font autorité tirées de la Norme sur l'assurance de l'identité et des justificatifs, des définitions provenant de lignes directrices connexes et de documents de référence de l'industrie ainsi que des définitions créées par le groupe de travail pour les besoins de la présente Ligne directrice.
(Source : Norme sur l'assurance de l'identité et des justificatifs)
Cette section présente un résumé des politiques, directives, normes et lignes directrices encadrant la gestion de l'information, la sécurité de la TI et la protection des renseignements personnels.
La Politique sur la sécurité du gouvernement a pour objectif de veiller à ce que les administrateurs généraux gèrent efficacement les activités de sécurité au sein des organisations gouvernementales et contribuent à la gestion efficace de la sécurité à l'échelle du gouvernement. La Politique est appuyée par deux directives :
La Directive sur la gestion de l'identité est appuyée par une norme et deux lignes directrices :
La Politique sur la protection de la vie privée a pour objectifs de :
La Politique sur la protection de la vie privée est appuyée par les directives suivantes :
L'objectif de la Politique sur la gestion de l'information consiste à assurer une gestion de l'information efficace à l'appui de la mise en œuvre des programmes et des services; à assurer des processus décisionnels efficaces; à faciliter la reddition de comptes, la transparence et la collaboration; et à préserver l'information et veiller à l'accès à l'information et aux documents pour le bienfait de la génération actuelle et des générations à venir.
La Politique sur la gestion de l'information est appuyée par les directives suivantes :
La Politique sur les services a pour objectif de mettre en place une approche stratégique et cohérente en matière de conception et de prestation de services internes intégrés et externes du gouvernement du Canada qui est axée sur les clients, obtient des gains d'efficience opérationnelle et favorise une culture de l'excellence en ce qui a trait à la gestion des services.
La Politique sur les services est appuyée par les lignes directrices suivantes :
On trouvera des lignes directrices et outils connexes en suivant les liens susmentionnés.
La présente section décrit des lignes directrices et des normes de l'industrie connexes pour la gestion de l'information, pour la protection de la TI et des renseignements personnels et pour utilisation en conjonction avec la présente Ligne directrice.
Les organisations gouvernementales peuvent vouloir mener des évaluations plus généralisées des risques en matière de sécurité, à titre de mesure additionnelle, lorsqu'elles procèdent à la mise en œuvre les exigences minimales stipulées à l'annexe C de la Norme sur l'assurance de l'identité et des justificatifs. Par exemple, une évaluation des risques en matière de sécurité peut être utile pour cibler les agents de menace très spécialisés liés à un environnement en ligne en rapide évolution, ainsi que les vulnérabilités possibles qui découlent des technologies plus récentes, comme les tablettes et les téléphones mobiles.
Afin d'obtenir des directives sur l'authentification liée aux systèmes de la TI et la prestation de services électroniques, les organisations gouvernementales devraient consulter les lignes directrices suivantes publiées par le Centre de la sécurité des télécommunications du Canada :
Plusieurs documents ont été créés pour appuyer la gouvernance de l'authentification électronique et l'octroi de contrats nécessaires. Les organisations gouvernementales sont invitées à consulter ces documents, qu'on peut obtenir en communiquant avec la Direction du dirigeant principal de l'information (voir la section 5.2 de la présente Ligne directrice).
Les organisations gouvernementales sont invitées à se familiariser avec les normes qui favorisent une approche pancanadienne. Des normes pancanadiennes sont actuellement en cours d'élaboration par le Sous-comité sur la gestion de l'identité (SCGI), une entité intergouvernementale qui relève du Conseil des dirigeants principaux de l'information du secteur public (CDPISP) et du Conseil de la prestation des services du secteur public (CPSSP) (les Conseils mixtes). Ces deux conseils sont appuyés par l'Institut des services axés sur les citoyens.
Les organisations gouvernementales sont invitées à utiliser et à adopter d'autres cadres, normes et lignes directrices, s'il y a lieu. L'industrie et le gouvernement ont adopté le modèle d'assurance à quatre niveaux décrit à l'annexe C de la Norme sur l'assurance de l'identité et des justificatifs, aussi illustré au tableau 1. Cependant, il existe quelques différences entre ce modèle et les autres cadres, normes et lignes directrices. En utilisant ces ressources connexes, les organisations gouvernementales doivent tenir compte des facteurs suivants :
On notera que le gouvernement du Canada procède actuellement à la formalisation d'un processus d'adoption des cadres de fiabilité qui permettra d'approuver l'utilisation des cadres de fiabilité de l'industrie et du secteur public. On trouvera ci-dessous une liste non exhaustive de cadres, normes et lignes directrices qui peuvent être utilisés :
Pour une définition de l'identité et des autres termes utilisés dans la présente Ligne directrice, voir l'Annexe A.
La présente Ligne directrice s'applique seulement aux personnes.
Norme sur l'assurance de l'identité et des justificatifs, annexe A
Directive sur la gestion de l'identité, paragraphe 3.5.
D'autres lois applicables comme la Loi sur l'accès à l'information et la Loi sur la protection des renseignements personnels exigent des contrôles additionnels.
Norme sur l'assurance de l'identité et des justificatifs, annexe A
La validation de l'identité est aussi désignée sous le nom de validation des renseignements sur l'identité. La meilleure référence sur la validation de l'identité est la Norme pancanadienne sur la validation de l'identité (non publiée), que l'on peut obtenir en communiquant avec la Division de la gestion de la sécurité et de l'identité de la Direction du dirigeant principal de l'information.
Norme sur l'assurance de l'identité et des justificatifs, Annexe A.
La Norme pancanadienne sur la validation de l'identité sera publiée dans le site Web de l'Institut des services axés sur les citoyens et dans GCpédia
La Ligne directrice sur la définition des exigences en matière d'authentification établit un processus à deux étapes. Étape 1 : Déterminer l'exigence relative au niveau d'assurance. Étape 2 : Déterminer les exigences en matière d'authentification, y compris les facteurs de compensation et d'autres mesures de protection.
La Ligne directrice sur la définition des exigences en matière d'authentification offre un produit de la Demande de niveau d'assurance de l'identité, qui a servi à l'élaboration de la Ligne directrice sur l'assurance de l'identité. La Ligne directrice sur l'assurance de l'identité, compte tenu du contexte de l'identité, sert à mettre en œuvre les exigences liées au niveau d'assurance de l'identité.
La Ligne directrice sur la définition des exigences en matière d'authentification fournit aussi les produits des Exigences relatives à l'assurance du justificatif et des Exigences relatives à l'authentification. Ils servent à informer le document ITSG-31 : Guide sur l'authentification des utilisateurs pour les systèmes TI et le document ITSG-33 La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie.
Pris ensemble, les produits des lignes directrices peuvent être utilisés pour aider à prendre des décisions au regard de la fédération de l'identité ou des documents d'accréditation, qui favorisent la fédération.