L’IRS fait des erreurs avec l’exigence de « sécurité » de la reconnaissance faciale

Laissez à l’IRS le soin de trouver un moyen d’unir un Congrès très fracturé, mais en réunissant les démocrates et les républicains pour réprimander vivement l’agence. Son péché ? Une tentative maladroite exiger des contribuables d’utiliser un système de reconnaissance faciale en ligne pour accéder à leurs propres informations personnelles.

L’odeur de reconnaissance faciale de l’IRS est particulièrement décourageante car elle a inutilement retardé l’agence d’instituer une mise à niveau de cybersécurité de base et largement approuvée connue sous le nom d'”authentification multifactorielle”. S’il s’était engagé dans une réflexion stratégique, l’IRS aurait pu lancer avec succès cette mesure de sécurité bénéfique avec peu ou pas d’opposition, et encore moins sans salir davantage la réputation inutilement décriée des systèmes de reconnaissance faciale.

Tout le monde peut stipuler que les systèmes d’information du gouvernement fédéral sont sous cyber siège et ont donc besoin de mises à niveau de sécurité constantes. Dépasser une simple exigence d’accès au réseau par nom d’utilisateur et mot de passe est l’une de ces mises à niveau nécessaires, car les pirates utiliser encore des identifiants d’accès volés pénétrer dans les systèmes gouvernementaux.

L’administration Biden le sait et, à cette fin, a récemment commandé agences pour “intégrer et appliquer l’authentification MFA dans toutes les applications impliquant un accès authentifié aux systèmes fédéraux par le personnel de l’agence, les sous-traitants et les partenaires”.

Concrètement, cela signifie que les agences fédérales doivent désormais exiger des utilisateurs qu’ils présentent autre chose qu’un mot de passe pour accéder aux réseaux restreints. Cet authentificateur supplémentaire peut être n’importe quoi, de la carte d’accès à puce à même – oui – des identifiants « biométriques » tels que les empreintes digitales, les empreintes vocales ou même la redoutable photo du visage.

Ironiquement, cette exigence MFA n’est pas nouvelle pour l’IRS. Depuis plusieurs années, l’IRS a obligatoire ses employés à utiliser MFA pour accéder à des informations fiscales, et pour cause : Études ont montré que des systèmes MFA bien conçus peuvent réduire la possibilité de compromission d’identité de plus de 99 %.

L’environnement général des cybermenaces et le rendement massif des investissements en matière de sécurité des AMF auraient dû être – et sont toujours – une justification suffisante pour que l’IRS étende une telle exigence aux contribuables. Les dirigeants de l’agence se sont trompés en offrant de faibles raisons pour le nouveau programme de vérification d’identité.

Au lieu de simplement dire “MFA est une meilleure pratique de sécurité pour tout le monde, y compris les contribuables” et d’en rester là, les dirigeants de l’IRS ont plutôt proposé une justification largement peu convaincante liée aux inquiétudes persistantes concernant les paiements aux voleurs d’identité. Oui, l’IRS a incorrectement versé des milliards dans les remboursements d’impôt aux voleurs d’identité, mais ces dernières années, il a fait un travail remarquable en dénichant ces demandes de remboursement, réduisant leur nombre de 80 pour cent.

Le fait que le nombre de réclamations pour vol d’identité des contribuables dépasse toujours les 100 000 fournit une base crédible pour la mise en œuvre d’un programme d’AMF, mais pas une base alimentée par la reconnaissance faciale en l’absence de preuves convaincantes à l’appui. Après tout, il existe plusieurs méthodes alternatives, mais légèrement moins efficaces, pour authentifier l’identité de quelqu’un, allant des numéros générés aléatoirement à un code d’accès unique envoyé à un appareil mobile. Ces options et d’autres auraient facilement atteint l’objectif de réduire les éventuelles fraudes d’identité via MFA sans plonger dans le monde intrinsèquement délicat de la biométrie.

Pourtant, pour une raison quelconque, l’IRS a choisi l’option biométrique, et plus particulièrement la reconnaissance faciale, comme authentificateur supplémentaire. Il a fourni peu de justification pour cette décision, ce qui est remarquable étant donné que la technologie a été critiquée à plusieurs reprises pour discrimination en raison de sa prétendue difficulté à identifier les minorités raciales et ethniques.

Membres du Congrès reculé de manière prévisible au choix de l’IRS, le claquant comme une intrusion totalement inutile dans la vie privée des contribuables, et l’IRS rapidement appelé l’arrêt du programme.

La retraite de l’IRS face aux critiques flétries du Congrès a peut-être été politiquement sage à court terme, mais à long terme, elle a causé d’autres dommages inutiles à la réputation des systèmes MFA alimentés par la reconnaissance faciale.

Rappelons que des millions d’Américains utilisent quotidiennement des systèmes de reconnaissance faciale sous forme de “face unlock” sur leurs smartphones sans souci. Ces systèmes de correspondance d’identité sont conçus pour confirmer que le visage que vous présentez sur votre téléphone (ou dans ce cas, le site Web de l’IRS) correspond à une photographie précédemment vérifiée comme étant vous et résidant dans une base de données sécurisée. C’est un processus très éloigné du système distinct de surveillance faciale lié à des résultats discriminatoires (bien que facilement atténué grâce à des tests logiciels appropriés).

De plus, l’IRS aurait également pu facilement s’allier aux préoccupations concernant la création (et encore moins l’utilisation abusive ou le vol) d’une grande base de données d’analyse faciale en adoptant des contrôles stricts utilisés par d’autres agences fédérales. Le FBI, par exemple, n’autorise l’accès à sa base de données de reconnaissance faciale que pour des usages très spécifiques et après que les utilisateurs aient suivi une formation rigoureuse. De plus, les capacités de cryptage ont évolué au point que toute analyse faciale soumise par un contribuable est presque inutile si volé par des pirates.

Pour l’instant, heureusement, les dommages causés par l’incursion mal conçue de l’IRS dans l’AMF sont limités.

L’IRS peut redémarrer rapidement et avec succès le programme en utilisant des techniques d’authentification beaucoup moins intrusives, atteignant ainsi l’objectif tout à fait approprié de sécuriser davantage les dossiers des contribuables. D’autres agences, quant à elles, devraient utiliser cela comme un moment propice à l’apprentissage : la reconnaissance faciale dans le cadre d’un programme MFA est possible, mais soyez bien préparé à la défendre.

Brian Finch est associé chez Pillsbury Winthrop Shaw Pittman LLP à Washington DC Suivez-le sur Twitter @BrianEFinch

Leave a Comment