Modernisation de l’IAM pour les administrations nationales et locales
Les administrations nationales et locales modernisent rapidement leurs services numériques afin de mieux servir leurs administrés. Mais à mesure que les organismes publics se digitalisent, les cybermenaces et la complexité opérationnelle augmentent tout aussi rapidement. Les escrocs exploitent la GenAI pour tout faire, des deepfakes et du clonage vocal au phishing personnalisé et aux fausses plateformes d’IA qui dérobent des identifiants de connexion. Comme les pertes liées à la fraude peuvent rapidement devenir incontrôlables, la prévention de la fraude constitue un élément essentiel de la stratégie de toute organisation. Le résultat ? Des milliards perdus à cause de la fraude, une méfiance croissante des citoyens et des expériences numériques pleines de frictions qui compromettent les objectifs de prestation de services. Mais il existe une meilleure voie à suivre.
Ce guide explique comment les solutions modernes de gestion des identités et des accès (IAM) aident les organismes publics à unifier et sécuriser les expériences numériques, réduire la fraude et les abus, se défendre contre les menaces pilotées par l’IA et rationaliser les opérations. Découvrez comment offrir un accès sécurisé et fluide aux résidents, aux employés et aux partenaires, tout en renforçant la confiance, en améliorant l’efficacité et en protégeant les ressources publiques.
Comment bien mettre en place la prévention de la fraude ?
- L’évolution du paysage de la fraude et son impact sur votre stratégie de lutte contre la fraude
- Le processus de prévention de la fraude en plusieurs étapes et les différents outils disponibles dans votre arsenal de lutte contre la fraude
- La relation entre la prévention de la fraude et l’expérience des citoyens et des tiers
- La voie vers une stratégie dynamique de lutte contre la fraude
Comment les fraudeurs exploitent-ils les administrations publiques ?
Les cybercriminels ne forment pas un groupe homogène. Le mot « fraudeur » évoque l’image d’une silhouette sombre en sweat à capuche penchée de manière menaçante sur un écran, mais ce n’est pas nécessairement le cas. Les fraudeurs varient largement en âge et vivent dans tous les pays. Beaucoup agissent seuls, mais beaucoup d’autres opèrent au sein de « réseaux de fraude » dirigés par des États et/ou pour de grandes organisations criminelles bien financées. Certains de ces criminels choisissent de travailler exclusivement en ligne, tandis que d’autres sont des escrocs charismatiques qui soutirent des informations à leurs victimes en se faisant passer pour des prestataires légitimes, puis utilisent ces informations pour accéder à des comptes. Et bien sûr, nombre de ces acteurs malveillants exploitent les technologies numériques pour accroître considérablement la portée et l’ampleur de leurs attaques.
Les outils utilisés par les fraudeurs pour commettre leurs crimes
Comment les administrations nationales et locales peuvent prévenir la fraude
Une prévention efficace de la fraude exige des organisations qu’elles collectent des informations sur les activités frauduleuses afin d’améliorer leur posture de défense.
Cas d’usage : Grand opérateur sans fil et distributeur au service d’agences gouvernementales américaines
Une entreprise proposant des services sans fil et Internet à des particuliers, des entreprises et des agences gouvernementales s’est tournée vers Ping à la recherche d’une solution permettant d’améliorer la sécurité et de faciliter les activités de ses revendeurs agréés et de ses employés.
Défis du client :
- Aucun contrôle sur les types d’appareils et de réseaux utilisés par les revendeurs
- La fatigue liée au MFA commençait à compromettre à la fois la sécurité et l’expérience
- Perte de productivité et de ventes due aux invites MFA répétées
- Augmentation de la fraude en e-commerce, en particulier pendant les périodes de forte activité de l’année
Solution Ping — Détection de fraude (PingOne Protect) :
- Déploiement d’une solution antifraude pour analyser les schémas de trafic et les comportements, puis mise en œuvre d’une authentification basée sur le risque afin de déclencher le MFA uniquement dans les situations à haut risque
- Ajustement fin des politiques de risque de PingOne Protect afin d’activer le MFA sur les réseaux anonymes
- Extension des informations sur les menaces grâce à l’intégration des journaux avec des outils de sécurité
Résultat final :
- La mise en œuvre a pris 3 mois et couvert 30 politiques PingFederate et plus de 200 connexions ; le taux de réussite a été élevé, avec seulement 2 applications en échec
- Réduction des invites MFA de plusieurs fois par jour à une fois par semaine
- Diminution de l’activité frauduleuse sans créer de friction supplémentaire pour les connexions fiables et les employés internes
- Déclenchement de mesures de sécurité supplémentaires pour les réseaux anonymes et suspects
Outils de lutte contre la fraude
À mesure que les fraudeurs perfectionnent leurs méthodes et affinent leurs approches, les équipes antifraude s’efforcent de suivre le rythme. La revue manuelle ne suffit plus ; les outils de gestion de la fraude numérique se multiplient. Ces outils se répartissent généralement en plusieurs catégories, correspondant globalement à une ou plusieurs des étapes du processus de prévention de la fraude décrit ci-dessus.
Protection contre la fraude aux paiements
Les organisations subiront des pertes accrues liées à la fraude à mesure que davantage de services basculent vers l’environnement en ligne. Les outils automatisés de protection contre la fraude aux paiements peuvent contribuer à améliorer la précision de la détection et à réduire le besoin d’intervention manuelle. Ces outils intègrent des fonctionnalités telles que des règles de risque, le scoring de risque, la surveillance en temps réel et le contrôle de vélocité afin de détecter et de bloquer les activités d’achat frauduleuses.
Détection et gestion des bots
De nombreux bots sont conçus pour nuire, mais tous ne sont pas malveillants. Par exemple, Google utilise des bots légitimes pour indexer et classer les pages Web dans ses résultats de recherche. Les outils de détection et de gestion des bots visent à distinguer les bons bots des mauvais et à déterminer lesquels peuvent accéder à un site Web. Cette capacité est essentielle : s’il est important de bloquer les bots malveillants, il est tout aussi crucial d’autoriser les bots légitimes afin d’assurer la visibilité et la pertinence d’un site. Les outils de détection et de gestion des bots différencient les visiteurs humains, les bons bots et les bots malveillants, et utilisent le machine learning ainsi que des renseignements sur les menaces pour détecter les activités frauduleuses. Ces outils sont efficaces pour empêcher les bots malveillants de mener des activités telles que la fraude à la carte bancaire, la rétention abusive de stocks et le credential stuffing.
Biométrie comportementale
À mesure que les fraudeurs deviennent de plus en plus sophistiqués, les mesures de sécurité traditionnelles telles que les codes PIN perdent en efficacité. La biométrie comportementale est un outil de plus en plus répandu pour différencier les humains des bots ou les utilisateurs humains autorisés des non autorisés. Alors que la biométrie physique capture des caractéristiques humaines immuables telles que les empreintes digitales, la biométrie comportementale mesure des gestes interactifs. Par exemple, la manière dont nous tenons nos téléphones, nos habitudes de défilement ainsi que la pression et la vitesse de frappe sont des micro-gestes uniques à chacun. Les outils numériques commencent à exploiter ces données biométriques pour signaler une activité frauduleuse lorsque le comportement d’un utilisateur spécifique ne correspond pas à son comportement antérieur sur un site Web ou lorsqu’il ressemble à celui d’un bot.
Identifiant d’appareil
L’identification des appareils se concentre sur les dispositifs plutôt que sur les utilisateurs. Des informations telles que le type d’appareil, l’adresse IP, le fuseau horaire local et la langue du navigateur constituent une « empreinte » de l’appareil et peuvent aider les entreprises à détecter la fraude. Par exemple, si un appareil spécifique est associé à cinq comptes différents tentant d’effectuer des achats sur un site Web, les outils d’identifiant d’appareil enregistrent une activité potentiellement frauduleuse. Parmi les avantages de ces outils figure le fait qu’ils ne nécessitent pas de données personnelles sur l’utilisateur et qu’ils peuvent bloquer les fraudeurs récurrents en fonction d’un appareil déjà utilisé.
Outils de vérification et de validation d’identité
Par le passé, l’identité en ligne était confirmée à l’aide de noms d’utilisateur, d’adresses e-mail et de mots de passe. Aujourd’hui, ces mesures sont insuffisantes. Selon la nature de leurs services, les organisations doivent utiliser différents outils de vérification d’identité afin de s’assurer que l’identité revendiquée par un utilisateur correspond à son identité réelle. L’un des composants de ces outils consiste à analyser rapidement l’historique des transactions d’un utilisateur, collecté auprès de sources publiques et privées. Cette méthode est connue sous le nom d’authentification basée sur la connaissance (KBA) et est souvent considérée comme obsolète, car elle ajoute trop de friction. Des méthodes plus modernes incluent l’évaluation des caractéristiques physiques d’un utilisateur. Certaines organisations effectuent des contrôles manuels, par exemple en demandant à l’utilisateur de présenter un passeport ou un permis de conduire via la caméra de son ordinateur. D’autres utilisent des outils biométriques faciaux, prenant une photo du visage de l’utilisateur via la caméra afin de vérifier son identité.
Outils d’orchestration des paiements
Les organisations utilisent des outils d’orchestration des paiements pour orchestrer un processus transactionnel complexe au sein d’un hub unique. Ces outils contribuent à empêcher les menaces numériques de pénétrer les différentes étapes du processus de paiement. Les plateformes d’orchestration des paiements collectent et partagent des données permettant aux organisations d’ajouter des points de friction pour les fraudeurs potentiels tout en offrant un processus transactionnel fluide aux utilisateurs autorisés. Les outils d’orchestration des paiements sont particulièrement utiles pour prévenir la fraude transactionnelle.
Outils d’autorisation
Après avoir authentifié les utilisateurs, l’organisation peut leur attribuer différents niveaux d’accès au sein de son site Web. Les outils d’autorisation accordent ou refusent des permissions aux utilisateurs en fonction de paramètres définis par les équipes de sécurité et à l’aide de jetons d’accès. Certains outils se concentrent uniquement sur l’autorisation, tandis que d’autres combinent des fonctionnalités d’authentification et d’autorisation. En utilisant des outils d’autorisation, les organisations mettent en place une infrastructure qui détermine les accès et les permissions des utilisateurs externes comme des collaborateurs internes.
Les outils d’autorisation dynamique — également appelés contrôle d’accès basé sur les attributs (ABAC) ou gestion externalisée des autorisations (EAM) — vont bien au-delà des outils d’autorisation traditionnels en permettant aux organisations d’évaluer tout ensemble de données et d’appliquer des décisions basées sur des politiques déterminant les actions autorisées en fonction de ces données.
Hubs de lutte contre la fraude et la criminalité financière
Les hubs de lutte contre la fraude et la criminalité financière — parfois appelés hubs de décision — sont utilisés pour simplifier et automatiser le processus de prise de décision. Il s’agit souvent d’outils d’autorisation dotés de certaines capacités d’orchestration. L’objectif de ces outils est de simplifier la gestion de la fraude en centralisant la logique antifraude et la prise de décision. Leur principal avantage réside dans leur capacité à réduire considérablement le besoin de revue manuelle.
Le rôle des équipes fraude et risque
Avec l’augmentation du e-commerce et la hausse concomitante de la fraude en ligne, il est devenu plus difficile pour la plupart des entreprises de surveiller et de prévenir la fraude manuellement sans l’aide d’outils automatisés. Toutefois, certaines entreprises s’appuient exclusivement sur des équipes humaines pour la détection et la prévention de la fraude. Cette décision repose souvent sur l’idée que les collaborateurs peuvent identifier plus précisément la fraude et réduire le taux de faux positifs en examinant chaque cas individuellement. Ces équipes utilisent leur connaissance spécifique de l’entreprise pour adapter l’approche de prévention de la fraude au contexte unique de celle-ci.
Néanmoins, constituer une équipe dédiée spécifiquement à la prévention de la fraude présente des inconvénients : cela représente un coût élevé pour les entreprises ; les exigences imposées à ces équipes peuvent varier considérablement entre les périodes de pic et de creux des ventes ; et les humains peuvent mettre plus de temps que les outils automatisés à détecter et prévenir la fraude, ce qui peut frustrer les utilisateurs.
La plupart des organisations adoptent une approche d’automatisation partielle : les équipes fraude et risques effectuent certaines vérifications manuelles tout en se concentrant sur des stratégies de prévention plus larges, fondées sur les données issues d’outils automatisés.
La nature additive de la prévention de la fraude
Les méthodes de fraude étant de plus en plus sophistiquées et évoluant rapidement, les mesures de lutte contre la fraude doivent s’adapter en permanence. Cela peut être frustrant pour les entreprises qui consacrent des efforts importants à la définition, au développement et à la mise en œuvre d’une stratégie antifraude. Plutôt que de mettre l’accent sur l’utilisation d’outils et de technologies spécifiques, une stratégie antifraude devrait se concentrer sur des principes généraux, comme la détermination des ressources financières et humaines à consacrer à la lutte contre la fraude. De plus, les entreprises devraient adopter de nouvelles technologies antifraude pour compléter – et non remplacer – les solutions existantes. Une approche additive de la lutte contre la fraude peut à la fois améliorer l’efficacité des mesures et optimiser l’investissement des entreprises en ressources de cybersécurité.
À propos des équipes identité
Alors que les équipes fraude fonctionnaient souvent en silo par le passé, cela commence à évoluer. Avec l’émergence de nouvelles technologies de détection de la fraude, de vérification d’identité et de gestion des accès, les équipes identité peuvent désormais collaborer avec les équipes fraude au bénéfice de l’ensemble de l’organisation. À mesure que l’accent de la prévention de la fraude se déplace de la protection de la transaction vers la protection du parcours utilisateur de bout en bout, l’intégration des outils d’identité et de fraude dans des parcours utilisateurs fluides et sécurisés peut aider les deux équipes à atteindre leurs objectifs.
Construire un argumentaire en faveur de l’intégration : prévention de la fraude et parcours utilisateur global
Le coût d’une mauvaise UX
Les administrations étatiques et locales ne sont pas en concurrence pour des clients au sens traditionnel du terme, mais l’expérience reste essentielle. Lorsque les services numériques sont difficiles d’accès, déroutants ou excessivement contraignants, les usagers ne se contentent pas de « convertir » moins — ils se tournent vers les centres d’appels, les rendez-vous en personne ou retardent tout simplement leurs démarches. Si les citoyens attendent un certain niveau de sécurité lorsqu’ils accèdent à des services publics, des frictions excessives créent des obstacles à l’adoption et érodent la confiance. Des expériences incohérentes ou frustrantes finissent par orienter les usagers vers des canaux moins efficaces, ce qui augmente les coûts opérationnels et limite l’impact des initiatives numériques.
Sécurité vs fluidité : trouver le bon équilibre
Les citoyens et les tiers accordent de l’importance à la sécurité, à la simplicité et à la confidentialité. Il n’existe pas de formule universelle adaptée à chaque organisation, mais adopter une approche intégrée de la prévention de la fraude et de l’identité utilisateur peut aider à trouver le juste équilibre. L’astuce consiste à évaluer en continu les sessions utilisateur afin de détecter la fraude et à introduire des frictions en déclenchant des mesures d’atténuation uniquement lorsque cela est nécessaire.
Réunir les bons outils
Le parcours utilisateur est au cœur de tout ce que fait votre organisation, et la prévention de la fraude y joue un rôle essentiel. Les outils de détection de la fraude autonomes ne sont pas efficaces si les informations qu’ils collectent ne sont pas intégrées au parcours utilisateur global. Les équipes fraude et identité peuvent et doivent collaborer pour orchestrer des parcours centrés sur la confiance.
L’évolution constante de la stratégie antifraude
Bien entendu, même le modèle décrit ci-dessus ne peut rester statique. Les fraudeurs sont motivés, techniquement compétents et d’une créativité sans limite. De nouveaux types d’attaques apparaissent en permanence, et les équipes fraude se retrouvent généralement à réagir aux évolutions du paysage de la fraude. Ce paysage évolue si rapidement qu’au moment où une organisation a défini, validé et mis en œuvre sa stratégie, de nouvelles menaces peuvent déjà avoir émergé et rendre cette stratégie obsolète.
Une stratégie antifraude efficace doit se concentrer sur des principes de haut niveau plutôt que sur des détails d’implémentation, afin d’aider l’entreprise à prendre des décisions plus éclairées quant à la meilleure approche pour détecter, prévenir et gérer la fraude. Plutôt que de s’engager sur un ensemble spécifique d’outils et de techniques, une stratégie antifraude bien définie peut établir les principes généraux d’adoption, de maintien et de renforcement des mesures antifraude par la technologie. Il est essentiel de comprendre qu’il s’agit d’une course aux armements : à mesure que les fraudeurs développent de nouvelles méthodes d’exploitation, les chercheurs et les éditeurs de logiciels conçoivent de nouvelles contre-mesures. Une stratégie antifraude pragmatique mettra l’accent sur la nécessité de rester à jour grâce à un investissement continu dans les nouvelles technologies et dans les talents capables de les mettre en œuvre. Les fraudeurs ne restent pas inactifs ; les équipes fraude ne peuvent donc pas se permettre de se reposer sur leurs acquis. Votre stratégie de prévention de la fraude nécessitera des révisions constantes et des mises à jour régulières afin de garantir votre protection et celle de vos utilisateurs.
Cependant, avec les bons outils à votre disposition, vous disposerez de l’agilité nécessaire pour suivre le rythme rapide de l’évolution du paysage de la fraude.