Comprendre les standards techniques de l’identité numérique

L’identité numérique est devenue un pilier central de notre quotidien numérique. Création de compte en ligne, onboarding client, signature électronique, vérification KYC, accès à des services sensibles : de plus en plus de parcours reposent sur des processus entièrement dématérialisés.

Cette généralisation apporte des gains considérables en termes de rapidité et d’expérience utilisateur, mais elle s’accompagne aussi d’une augmentation significative des fraudes à l’identité.

Dans ce contexte, une question devient essentielle : comment s’assurer que les solutions d’identité numérique sont réellement sécurisées, fiables et comparables entre elles ? C’est précisément le rôle des standards techniques.

A quoi servent les standards techniques en identité numérique ?

Un standard technique peut être vu comme un langage commun ou un cadre de référence partagé. Il définit des règles, des exigences et des méthodes de test permettant d’évaluer objectivement une technologie, un processus ou un service.

Dans le domaine de l’identité numérique, les standards remplissent plusieurs fonctions clés :

• Garantir un niveau de sécurité mesurable : Ils permettent de démontrer qu’une solution résiste réellement aux différents types d’attaques.
• Assurer l’interopérabilité entre acteurs : Les standards facilitent la coopération entre fournisseurs, plateformes, États et régulateurs, en s’appuyant sur des règles communes.
• Créer de la confiance : Pour les utilisateurs finaux, les entreprises et les autorités, les standards sont un gage de sérieux, de transparence et de fiabilité.
  Servir de base à la réglementation : De plus en plus, les cadres réglementaires européens s’appuient directement sur des standards techniques pour définir leurs exigences.

Sans standards, chaque acteur définirait ses propres règles, rendant impossible toute comparaison réelle entre solutions.

Les grandes familles de standards de l’identité numérique

Les standards ISO : une référence internationale

L’Organisation internationale de normalisation (ISO) élabore des standards reconnus dans le monde entier, couvrant tous les domaines techniques, y compris l’identité et la biométrie.

Dans ce cadre, la norme ISO/IEC 30107 est une référence majeure : elle définit les méthodes de test de résistance des systèmes biométriques aux attaques de présentation (par exemple lorsque quelqu’un essaie de tromper une caméra avec une photo ou un masque).

Les standards CEN : une réponse européenne aux enjeux locaux

Le Comité Européen de Normalisation (CEN) agit comme le bras technique de l’Union européenne pour décliner des standards adaptés au marché européen. Son objectif : assurer la compatibilité entre les technologies et les exigences réglementaires, notamment celles du règlement eIDAS sur l’identité et la signature électroniques.

Un exemple clé est le CEN/TS 18099, un standard européen sur la détection d’attaques par injection vidéo ou numérique (Injection Attack Detection, IAD). Il complète l’approche ISO sur la biométrie en s’attaquant à des menaces plus modernes comme les deepfakes ou les falsifications de flux vidéo.

ETSI : le pont entre standards techniques et réglementation

L’European Telecommunications Standards Institute (ETSI) joue un rôle de “pont” entre les technologies et la réglementation européenne. C’est lui, par exemple, qui publie les standards techniques traduisant dans la pratique les exigences du règlement eIDAS et des services de confiance (signature électronique, cachet, horodatage, etc.).

L’ETSI 119 461 encadre la preuve d’identité à distance et définit les exigences techniques selon les niveaux d’assurance attendus. Elle s’appuie directement sur des standards comme l’ISO 30107 ou le CEN/TS 18099 pour définir ce qui est requis en matière de biométrie. L’ETSI agit ainsi comme un trait d’union entre innovation technologique et conformité réglementaire.

Comprendre les niveaux de sécurité 

Les standards ne servent pas qu’à dire “ce qu’il faut faire” ; ils permettent aussi de mesurer à quel point un processus est sécurisé. Dans le cadre européen, cette évaluation repose sur trois niveaux de garantie ou d’assurance : low, substantial et high.

• Niveau “Bas” : destiné aux parcours à faible enjeu et est adapté à des cas d’usage ou des services non sensibles (exemple : inscription à un jeu concours)
• Niveau “Substantiel” : niveau intermédiaire utilisé pour des démarches clients courantes. Les contrôles sont renforcés et robustes aux attaques courantes
• Niveau “Élevé” : exigé pour les transactions hautement sensibles ou hautement réglementées (accès à des données médicales, signature d’un acte juridique). Il impose des procédures robustes avec vérification biométrique, auditabilité, et attestation par un fournisseur certifié.

Conclusion

Les standards techniques ISO, CEN et ETSI ne sont pas de simples contraintes techniques : ils constituent le socle de confiance de l’identité numérique moderne.
Dans un contexte de fraude croissante et de digitalisation massive, ils offrent un cadre clair, mesurable et partagé pour sécuriser les parcours numériques.

‍