KSZ-BCSS Vers une architecture orientée services et l’utilisation commune des services de base Kruispuntbank van de Sociale Zekerheid
KSZ-BCSS Plan de l’exposé n n TIC interopérable sur base d’une architecture orientée services (service oriented architecture – SOA) aperçu de plusieurs services de base offerts - n gestion des utilisateurs et des accès ticketing et accusé de réception pages personnelles logging customer relationship management (CRM) ou gestion de la relation client état de la question en ce qui concerne les mandats autorisés à intervenir au nom des entreprises et des citoyens Banque Carrefour de la sécurité sociale 2 04/07/2006
KSZ-BCSS TIC interopérable n n n n architecture orientée services (SOA – Service Oriented Architecture) en couches basée sur des standards ouverts ou au moins des spécifications ouvertes basée sur des composants modulaire souple extensible sécurisée Banque Carrefour de la sécurité sociale 3 04/07/2006
KSZ-BCSS Architecture orientée services “Service Oriented Architecture (SOA) is a paradigm for organizing and utilizing distributed capabilities that may be under the control of different ownership domains. It provides a uniform means to offer, discover, interact with and use capabilities to produce desired effects consistent with measurable preconditions and expectations. Enterprise architects believe that SOA can help businesses respond more quickly and costeffectively to the changing market conditions. This style of architecture promotes reuse at the macro (service) level rather than micro levels (eg. objects). It also makes interconnection of existing IT assets trivial. ” (OASIS Reference Group) Banque Carrefour de la sécurité sociale 4 04/07/2006
KSZ-BCSS Architecture en couches Présentation Applications Services métier Services de base Données Banque Carrefour de la sécurité sociale 5 04/07/2006
KSZ-BCSS Spécifications ouvertes et standards ouverts n n n spécification ouverte: spécification qui est suffisante pour écrire une application entièrement opérationnelle et qui est libre de contraintes juridiques entravant sa diffusion et son utilisation standard ouvert: spécification ouverte qui a été approuvée par une organisation de standardisation indépendante principales organisations de standardisation indépendantes internationales - International Organization for Standardization (ISO) (http: //www. iso. org) - World Wide Web Consortium (W 3 C) (http: //www. w 3. org) - OASIS (http: //www. oasis-open. org) Banque Carrefour de la sécurité sociale 6 04/07/2006
KSZ-BCSS Spécifications ouvertes et standards ouverts n exemples - sets de caractères interconnexion échange de messages échange de documents enregistrement de messages enregistrement de documents compression de documents sécurisation voir par exemple http: //www. bcss. fgov. be/documentation/fr/ documentation/Presse/Openstandaarden. FR_FEDICT. pdf n Banque Carrefour de la sécurité sociale 7 04/07/2006
KSZ-BCSS Composants n n n composants clairement définis, fonctionnant de manière autonome qui interopèrent mutuellement et avec des composants externes, sur base d’une architecture orientée services, à l’aide de standards ouverts de sorte à garantir une souplesse maximale afin - de connecter d’autres composants - d’ajouter d’autres composants - de remplacer des composants par d’autres composants - de réutiliser des composants pour d’autres finalités en fonction de - l’évolution des besoins - l’évolution des possibilités technologiques sans avoir d’impact sur les composants existants en faisant appel à la concurrence ouverte pour le développement des composants à connecter, à ajouter ou à remplacer Banque Carrefour de la sécurité sociale 8 04/07/2006
KSZ-BCSS Données et informations n données à caractère personnel - enregistrées et gérées dans des banques de données authentiques complémentaires en fonction d’une répartition des tâches n informations non personnelles - enregistrées de façon modulaire et tenues à jour dans des systèmes de content management accessibles de manière générale - contenant des métadonnées standardisées basées sur des thésaurus standardisés - avec séparation du contenu, des métadonnées et de la forme (réutiliser et non réécrire) - pouvant faire l’objet d’une réindexation automatique Banque Carrefour de la sécurité sociale 9 04/07/2006
KSZ-BCSS Données et informations n informations à l’appui de la politique et de la recherche - en agrégeant des données provenant de systèmes opérationnels dans des datawarehouses - avec possibilités d’approche des données en fonction de différentes dimensions et différents degrés de granularité - avec des outils puissants d’exploration, d’analyse et de visualisation - de préférence, en temps réel (on line analytical processing – OLAP) Banque Carrefour de la sécurité sociale 10 04/07/2006
KSZ-BCSS Services de base n n composants offrant un service générique à tout service métier qui veut l’utiliser valeur ajoutée - permet d’économiser des coûts de développement et d’exploitation: develop once, use many - permet aux développeurs de services métier et d’applications de se concentrer sur les services métier - cohérence pour les utilisateurs des différentes applications - simplifie l’offre et le monitoring de processus et de chaînes de processus Banque Carrefour de la sécurité sociale 11 04/07/2006
KSZ-BCSS Services de base n n n gestion des utilisateurs et des accès pour les citoyens, les entreprises et les professionnels signature électronique transformation de formats ticketing et accusé de réception time stamping routage gestion de statut orchestration logging pages personnelles gestion de la relation client. . . Banque Carrefour de la sécurité sociale 12 04/07/2006
KSZ-BCSS Services de base user & access mgt electroni c signature ticketing / receipt Banque Carrefour de la sécurité sociale transfor -mation … 13 orchestration logging persona l pages 04/07/2006
KSZ-BCSS Services métier et applications n développement de services métier grâce à la coordination de composants et l’utilisation de services de base n développement d’applications répondant aux besoins des différents types d’utilisateurs par une coordination des services métier n où les mêmes composants et services de base peuvent être utilisés pour le développement de différents services métier, et où les mêmes services métier peuvent être utilisés pour le développement de différentes applications Banque Carrefour de la sécurité sociale 14 04/07/2006
KSZ-BCSS Applications Clients Application Exposed services Enterprise Service Bus Orchestration Enterprise Application Integration Consulted services Providers Application Banque Carrefour de la sécurité sociale Application 15 Application 04/07/2006
KSZ-BCSS Intégration d’applications via services web service web: composant logiciel offrant une fonctionnalité autodécrite univoque et qui est appelé de manière distribuée grâce à la technologie Internet standard web services repository (WSDL) (recherche services web) UDDI XML/SOAP web services client Banque Carrefour de la sécurité sociale UDDI (enregistrement services web) XML/SOAP 16 web services provider 04/07/2006
KSZ-BCSS Intégration d’applications dans l’administration fédérale n environnements middleware - environnement Enterprise Application Integration dans le secteur social géré par la Banque Carrefour de la sécurité sociale - Universal Messaging Engine (FEDICT), avec évolution vers Federal Service Bus - Centre de communication de la fiscalité fédérale (CCFF) en cours de développement au sein du SPF Finances - environnement Enterprise Application Integration en cours de développement au sein du SPF Justice dans le cadre du projet Phenix n réseaux interconnectés - extranet de la sécurité sociale entre les institutions de sécurité sociale - FEDMAN entre les services publics fédéraux - extranets d’autres niveaux de pouvoir - Internet et sur celui-ci des réseaux privés virtuels Banque Carrefour de la sécurité sociale 17 04/07/2006
KSZ-BCSS Intégration de présentation: sites portail n sites web n avec présentation intégrée des - informations, gérées de préférence dans des systèmes de content management - transactions n avec single log on ou single sign on n éventuellement soutenus par des outils de gestion de la relation client Banque Carrefour de la sécurité sociale 18 04/07/2006
KSZ-BCSS Intégration de présentation: sites portail n personnalisés, axés sur les intentions ou le groupe cible - personnalisés • look & feel et interface • contenu (uniquement informations et transactions pertinentes) • appui personnalisé, par ex. – utilisation de données à caractère personnel disponibles – aide contextuelle adaptée à l’utilisateur (par ex. texte, explication orale, aide lors de l’utilisation de supports électroniques, accompagnement des processus, …) – langage propre – vocabulaire approprié – simulations en ligne - axés sur les intentions ou le groupe cible • événements (p. ex. naissance, mariage, création d’une entreprise, …) • domaines de la vie (p. ex. culture, sport, …) • statut social (p. ex. travailleur salarié, chômeur, pensionné, …) ou secteur d’entreprise • groupes cibles Banque Carrefour de la sécurité sociale 19 04/07/2006
KSZ-BCSS Sites portail: faux fournisseurs intermédiaires personnel utilisateurs • citoyens • entreprises transactions partenaire s PORTAIL A • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation systèmes back-end, p. ex. • ERP • groupware • DB’s • applications content management gestion utilisateurs Banque Carrefour de la sécurité sociale PORTAIL B • single sign on • personnalisatio n • groupes d’utilisateurs • multi-channel • agrégation systèmes back-end, p. ex. • ERP • groupware • DB’s • applications 20 transactions gestion utilisateurs 04/07/2006
KSZ-BCSS Sites portail: vrai fournisseurs intermédiaire s personnel clients • citoyens • entreprises partenaires PORTAIL A • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation transactions systèmes back-end, p. ex. • ERP • groupware • DB’s • applications PORTAIL B • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation gestion utilisateurs Banque Carrefour de la sécurité sociale content management 21 content management gestion utilisateurs systèmes back-end, p. ex. • ERP • groupware • DB’s • applications transactions 04/07/2006
KSZ-BCSS Intégration de présentation: centre de contact n accessible de manière multimodale: téléphone, e-mail, formulaire sur le portail … Téléphone E-mail @ Internet Centre contact Eranova IPSS Internet SPF n soutenu par outil de gestion de la relation client Banque Carrefour de la sécurité sociale 22 04/07/2006
KSZ-BCSS Réseau d’intégrateurs de services intégrateur de services SPR catalogue de services Extranet communauté ou région catalogue de services intégrateur de services (BCSS) ISS Extranet sécurité sociale ISS Internet commune SPF VPN, Publilink, VERA, . . . catalogue de services ville ISS Fed. MAN province Banque Carrefour de la sécurité sociale SPF 23 catalogue de services intégrateur de services (FEDICT) 04/07/2006
KSZ-BCSS Réseau d’intégrateurs de services n types d’informations échangées - n données structurées documents images multimédia métadonnées processus métier sur base d’une technologie de services web Banque Carrefour de la sécurité sociale 24 04/07/2006
KSZ-BCSS Réseau d’intégrateurs de services n tâches possibles d’un intégrateur de services (BCSS, FEDICT, …) - organisation de la gestion des données, des services de base et métier, de l’intégration d’applications et de l’intégration de présentation - organisation du cadre d’interopérabilité sécurisé - gestion des utilisateurs et des accès • liste des utilisateurs (personnes, entreprises, applications, …) • détermination des moyens d’authentification possibles pour chaque service • gestion des autorisations – quel service est accessible pour quel type d’utilisateur concernant quelles personnes/entreprises en quelles qualités, dans quelle situation et concernant quelle période • contrôle préventif quant au respect des autorisations • logging d’échange de données à caractère personnel Banque Carrefour de la sécurité sociale 25 04/07/2006
KSZ-BCSS Réseau d’intégrateurs de services n tâches possibles d’un intégrateur de services - gestion d’un répertoire des références • quelles personnes/entreprises possèdent un dossier (électronique) sous quelles qualités, auprès de quelles instances et pour quelles périodes • quelle information est disponible auprès d’une instance donnée lorsqu’elle gère un dossier concernant une personne/entreprise déterminée sous une qualité donnée - gestion d’un répertoire des instances qui souhaitent obtenir des (modifications de) données de manière automatique • quelles instances souhaitent obtenir quelles données de manière automatique, dans quelles situations, concernant quelles personnes/entreprises, sous quelles qualités Banque Carrefour de la sécurité sociale 26 04/07/2006
KSZ-BCSS Vers une répartition des tâches ? n autorité fédérale, institutions publiques de sécurité sociale (IPSS) gérant des régimes ou branches, régions et communautés - accent est mis sur les couches de données et de services, avec pour résultat des services métier utilisables par les administrations locales, les institutions coopérantes de sécurité sociale et les fournisseurs de services aux citoyens et entreprises - le cas échéant, offre aux administrations locales, aux institutions coopérantes de sécurité sociale et aux fournisseurs de services aux citoyens et entreprises d’un environnement standard pour le développement d’applications et d’une couche de présentation Banque Carrefour de la sécurité sociale 27 04/07/2006
KSZ-BCSS Quelques services de base offerts n gestion des utilisateurs et des accès - notions - rappel du fonctionnement de la carte d’identité électronique (CIE) - modèle de « policy enforcement » - situation actuelle - quelques évolutions n n n ticketing et accusé de réception pages personnelles gestion de la relation client Banque Carrefour de la sécurité sociale 28 04/07/2006
KSZ-BCSS Gestion utilisateurs/accès - notions n n entité: quelqu’un ou quelque chose qui doit pouvoir être identifié, comme par exemple une personne physique, une entreprise, un établissement d’une entreprise, une machine ou une application attribut: une petite partie d’informations relatives à une entité identité: un numéro unique ou une série d’attributs d’une entité qui permet de savoir de manière univoque qui est l’entité; une entité ne possède qu’une seule identité caractéristique: un attribut d’une entité autre que les attributs qui déterminent l’identité de l’entité, tel qu’une qualité, une fonction dans une organisation déterminée, une qualification professionnelle, …; une entité peut avoir différentes caractéristiques Banque Carrefour de la sécurité sociale 29 04/07/2006
KSZ-BCSS Gestion utilisateurs/accès: notions n n mandat: un droit conféré par une entité identifiée à une autre entité identifiée pour poser en son nom et pour son compte certains actes juridiques enregistrement: le processus qui établit avec une certitude suffisante l’identité, une caractéristique d’une entité ou un mandat, avant la mise à disposition de moyens permettant d’authentifier ou de vérifier l’identité, une caractéristique ou un mandat Banque Carrefour de la sécurité sociale 30 04/07/2006
KSZ-BCSS Gestion utilisateurs/accès: notions n authentification de l’identité: le processus permettant de vérifier que l’identité que prétend posséder une entité pour pouvoir utiliser un service électronique constitue bien l’identité exacte; l’authentification d’une identité peut intervenir sur base d’un contrôle - des connaissances (p. ex. un mot de passe) - d’une possession (p. ex. un certificat sur une carte lisible par la voie électronique) - de caractéristiques biométriques - d’une combinaison d’un ou plusieurs de ces moyens Banque Carrefour de la sécurité sociale 31 04/07/2006
KSZ-BCSS Gestion utilisateurs/accès: notions n vérification d’une caractéristique ou d’un mandat: le processus permettant de vérifier qu’une caractéristique ou un mandat que prétend posséder une entité pour pouvoir utiliser un service électronique est effectivement une caractéristique ou un mandat de cette entité; la vérification d’une caractéristique ou d’un mandat peut intervenir sur base - des mêmes types de moyens que ceux utilisés pour l’authentification de l’identité - après l’authentification de l’identité d’une entité, par la consultation d’une banque de données où sont enregistrés les caractéristiques ou les mandats relatifs à une entité identifiée Banque Carrefour de la sécurité sociale 32 04/07/2006
KSZ-BCSS Gestion utilisateurs/accès: notions n n autorisation: une permission accordée à une entité afin de réaliser une action déterminée ou d’utiliser un service donné groupe d’autorisations: un ensemble d’autorisations rôle: un ensemble d’autorisations ou des groupes d’autorisations afférents à un service donné role based access control (RBAC): une méthode permettant d’attribuer des autorisations à des entités à l’aide de groupes d’autorisations et de rôles, afin de simplifier sur le plan administratif la gestion des autorisations et leur attribution à des entités Entité Banque Carrefour de la sécurité sociale Autorisation (groupe) Rôle 33 Service 04/07/2006
KSZ-BCSS Carte d’identité électronique Banque Carrefour de la sécurité sociale 34 04/07/2006
KSZ-BCSS Carte d’identité électronique (CIE) n fonctions retenues - identification visuelle et électronique du titulaire - authentification électronique de l’identité du titulaire au moyen de la technique de la signature numérique - apposition d’une signature électronique au moyen de la technique de la signature numérique n pas d’enregistrement d’autres données électroniques, mais promotion de l’accès contrôlé aux données via des réseaux où la carte d’identité électronique fait office d’instrument d’accès - éviter de percevoir la carte comme un ‘big brother’ - éviter la perte d’une multitude de données en cas de perte de la carte - éviter la nécessité d’une mise à jour multiple de la carte Banque Carrefour de la sécurité sociale 35 04/07/2006
CA CA clé publique signature numérique Kruispuntbank van de Sociale Zekerheid 36 04/07/2006
KSZ-BCSS CIE – quelques notions n n n certificat d’authentification: authentification de l’identité – usage requiert l’introduction d’un mot de passe, une fois par session certificat de signature: apposition d’une signature électronique valide sur le plan juridique - usage requiert l’introduction d’un mot de passe lors de toute apposition d’une signature électronique communes assument la fonction d’autorité d’enregistrement (RA): ‘guichet’ où le certificat est demandé et qui vérifie si l’identité communiquée est exacte; dans l’affirmative, il approuve la demande et le signale à l’autorité de certification Banque Carrefour de la sécurité sociale 37 04/07/2006
KSZ-BCSS CIE – quelques notions n Certipost assume la fonction d’autorité de certification (CA): produit sur base des informations reçues de la RA un certificat, associé à une paire de clés, et indiquant ce que cette paire de clés prouve dorénavant, et gère ce certificat Banque Carrefour de la sécurité sociale 38 04/07/2006
KSZ-BCSS CIE 1. Compose message 2. Compute hash 3. Generate signature 4. Collect signature 6 5. Collect certificate 6. Send message 7 1 hash 1 Alic e hash 6 e CRL 2 8 2 5 4 3, 4 3 Alice Alic e 5 Matching triplet? Bob 1. Receive message 3. Check CRL/OCSP 5. Fetch public key 7. Compute reference hash 2. Inspect certificate 4. Check certificate 6. Fetch signature 8. Hash, signature, public key match? Banque Carrefour de la sécurité sociale 39 04/07/2006
KSZ-BCSS CIE n CIE - identification et authentification électroniques de l’identité des personnes physiques âgées de plus de 12 ans qui sont inscrites dans les registres de population - signature électronique de ces personnes n encore besoin d’une solution pour l’identification et l’authentification électroniques de l’identité des personnes - âgées de moins de 12 ans - qui ne sont pas inscrites dans les registres de population n des compléments sont nécessaires pour une gestion intégrée complète des utilisateurs, p. ex. - vérification des caractéristiques pertinentes (p. ex. médecin, notaire, …) d’une personne physique - vérification d’un mandat entre une personne morale ou une personne physique sur lequel porte un service électronique et la personne qui utilise ce service - autorisations d’utilisation des services Banque Carrefour de la sécurité sociale 40 04/07/2006
KSZ-BCSS Policy Enforcement Model Action sur application REFUSÉE Utilisateur Action sur application Recherche policies Action sur application AUTORISÉE Policy Application (PEP ) Application Demande Réponse de décision Policy Décision (PDP ) Information Question / Réponse Gestion de l’autorisation Policy Autorisation (PAP ) Policy Information (PIP ) Source authentique Gestionnaire Policy repository Banque Carrefour de la sécurité sociale 41 04/07/2006
KSZ-BCSS Policy Enforcement Point (PEP) n n n intercepter la demande d’autorisation avec toutes les informations disponibles concernant l’utilisateur, l’action demandée, les ressources et l’environnement transmettre la demande d’autorisation au Policy Decision Point (PDP) et exiger une décision d’autorisation donner accès à l’application et fournir les justificatifs pertinents Action sur application REFUSÉE Utilisateur Action sur application Policy Application (PEP) Action sur application AUTORISÉE Application Demande Réponse de décision, décision Policy Décision (PDP) Banque Carrefour de la sécurité sociale 42 04/07/2006
KSZ-BCSS Policy Decision Point (PDP) n n n sur la base de la demande d’autorisation reçue, recher la policy d’autorisation adéquate dans les Policy Administration Points (PAP) évaluer la policy et, au besoin, recher les informations pertinentes dans les Policy Information Points (PIP) prendre la décision d’autorisation (permit / deny / not applicable) et la communiquer au PEP Policy Application (PEP ) Demande de Réponse décision Recherche Policies Policy Décision (PDP ) Information Question / Réponse Informatio n Question / Réponse Policy Autorisation (PAP ) Banque Carrefour de la sécurité sociale Policy Information (PIP) 43 Policy Information (PIP) 04/07/2006
KSZ-BCSS Policy Administration Point (PAP) n n environnement de sauvegarde et de gestion des policies d’autorisation par les personnes compétentes désignées par le responsable de l’application mise à la disposition du PDP des policies d’autorisation Gestion de l’autorisation PAP Recherche Policies PDP Gestionnaire Policy repository Banque Carrefour de la sécurité sociale 44 04/07/2006
KSZ-BCSS Policy Information Point (PIP) n mise à la disposition du PDP de l’information pour l’évaluation des policies d’autorisation (sources authentiques avec caractéristiques, mandats, …) Information Question/ Réponse PDP Information Question/ Réponse PIP 1 Source authentique Banque Carrefour de la sécurité sociale 45 PIP 2 Source authentique 04/07/2006
KSZ-BCSS Principe de « cercles de confiance » n objectif - éviter une centralisation inutile - éviter des menaces inutiles à l’égard de la protection de la vie privée - éviter des contrôles identiques multiples et la sauvegarde multiple de loggings n méthode: répartition des tâches entre les instances concernées par la prestation de services électroniques et décisions claires en en ce qui concerne les questions suivantes: - qui effectue quels authentifications, vérifications et contrôles à l’aide de quels moyens et qui en est responsable - comment échanger électroniquement entre les instances concernées, de façon sécurisée, les résultats des authentifications, vérifications et contrôles - qui conserve quels loggings - comment veiller, lors d’un examen à l’initiative d’un organisme de contrôle ou suite à une plainte, à retracer entièrement quelle personne physique a utilisé quel service ou transaction concernant quel citoyen ou entreprise par l’intermédiaire de quel canal et pour quelle finalité Banque Carrefour de la sécurité sociale 46 04/07/2006
KSZ-BCSS Situation actuelle – principes généraux n une distinction est opérée entre 4 groupes cibles - n citoyens collaborateurs des institutions de sécurité sociale (ISS) entreprises autres acteurs concernés par le secteur social les informations et transactions disponibles sont réparties sur base d’une analyse des risques et les procédures d’enregistrement et d’authentification de l’identité requises dépendent du niveau de sécurité exigé - 5 niveaux pour les citoyens et les collaborateurs des institutions de sécurité sociale - 4 niveaux pour les entreprises (pas de niveau spécifique faisant appel à des tokens) Banque Carrefour de la sécurité sociale 47 04/07/2006
KSZ-BCSS Situation actuelle citoyens n actuellement un citoyen obtient uniquement accès - à des informations et transactions publiques - à des transactions non publiques le concernant n donc uniquement besoin - d’un enregistrement de l’identité - d’une authentification de l’identité à un niveau adapté au degré de sensibilité de la transaction n (pour l’instant) pas - de vérification de caractéristiques - de vérification de mandats - de gestion d’autorisations Banque Carrefour de la sécurité sociale 48 04/07/2006
KSZ-BCSS Situation actuelle citoyens Niv Enregistrement identité Authentification identité 0 aucun 1 online par l’introduction du numéro de numéro d’utilisateur et mot registre national, numéro de carte de passe choisi par d’identité et numéro de carte SIS l’utilisateur 2 niveau 1 + envoi d’e-mail avec URL d’activation vers l’adresse e-mail indiquée par le citoyen et envoi de token sur support papier vers la résidence principale du citoyen reprise dans le Registre national niveau 1 + introduction d’un info / transactions à string mentionné sur le sensibilité moyenne token (contient 24 strings) logging demandé de façon aléatoire 3 présentation physique auprès de la commune pour obtention CIE certificat d’authentification info / transactions à sur CIE + mot de passe par sensibilité élevée session logging 4 présentation physique auprès de la commune pour obtention CIE certificat d’authentification sur CIE + certificat de signature sur EID + mot de passe par transaction Banque Carrefour de la sécurité sociale aucune Applications 49 info / transactions publiques info / transactions à faible sensibilité logging transactions qui requièrent une signature électronique 04/07/2006
KSZ-BCSS Token Banque Carrefour de la sécurité sociale 50 04/07/2006
KSZ-BCSS Situation actuelle collaborateurs ISS n enregistrement et authentification de l’identité - comme pour citoyen - au niveau 2, le token est toutefois envoyé au conseiller en sécurité de l’institution de sécurité sociale dont l’intéressé est un collaborateur et c’est le conseiller en sécurité qui le remet à l’intéressé n enregistrement caractéristique du collaborateur d’une institution de sécurité sociale - introduction par le conseiller en sécurité de l’institution de sécurité sociale concernée auprès d’un PIP chez FEDICT (à l’avenir dans le secteur social) Banque Carrefour de la sécurité sociale 51 04/07/2006
KSZ-BCSS Situation actuelle collaborateurs ISS n vérification caractéristique du collaborateur d’une institution de sécurité sociale - consultation du PIP auprès de FEDICT (à l’avenir dans le secteur social) - en cas d’utilisation de token, également demande d’un string aléatoire indiqué sur le token n enregistrement autorisation - introduction par le conseiller en sécurité de l’institution de sécurité sociale concernée dans le PAP auprès de la Smal. SMv. M (pour le portail) ou auprès de la BCSS (pour les services offerts par la BCSS) (à l’avenir intégration des deux PAP) n vérification autorisation - consultation de l’autorisation dans le PAP auprès de la Smal. S-Mv. M ou auprès de la BCSS à partir des informations transmises après consultation du PIP Banque Carrefour de la sécurité sociale 52 04/07/2006
KSZ-BCSS Enregistrement enregistrement collaborateur institution de sécurité sociale (PIP FEDICT) agency département ONVA Sécurité sociale ONVA - caisse de vacances 1 enregistrement autorisation (PAP’s Smal. S-Mv. M et BCSS) Min. des Finances ONVA – caisse de vacances 2 Banque Carrefour de la sécurité sociale CIN BCSS CIN ONVA caisse de vacances 1 ONVA – caisse de vacances 3 caisse de vacances 2 53 Min. des Finances caisse de vacances 3 04/07/2006
KSZ-BCSS Situation actuelle entreprises Niv Enregistrement identité Authentification identité Applications 0 aucune info / transactions publiques 1 gestionnaire local: lettre de la part de l’entreprise pour laquelle l’intéressé agit en tant que gestionnaire local autres collaborateurs: validation par le gestionnaire local numéro d’utilisateur et mot de passe info / transactions à faible sensibilité logging 2 présentation physique auprès de la commune pour obtention de la CIE certificat info / transactions à d’authentification sur CIE sensibilité élevée + mot de passe par logging session 3 présentation physique auprès de la commune pour obtention de la CIE certificat transactions qui requièrent d’authentification sur CIE une signature électronique + certificat de signature sur CIE + mot de passe par transaction Banque Carrefour de la sécurité sociale 54 04/07/2006
KSZ-BCSS Situation actuelle entreprises n enregistrement mandat et autorisation à utiliser info / transactions au nom d’une entreprise / d’un prestataire de services - introduction par ONSS dans propre PIP • du mandat d’un gestionnaire local d’une entreprise pour utiliser, au nom et pour le compte d’une entreprise, des infos / transactions sécurisées • du mandat du prestataire de services (secrétariat social agréé ou autre) pour utiliser, au nom et pour le compte d’une entreprise, des infos / transactions sécurisées • du mandat d’un gestionnaire local d’un prestataire de services pour utiliser, au nom et pour le compte d’un prestataire de services, des infos / transactions sécurisées - introduction dans le PIP de l’ONSS par le gestionnaire local d’une entreprise / d’un prestataire de services • du mandat d’autres préposés d’une entreprise / d’un prestataire de services pour utiliser, au nom ou pour le compte d’une entreprise / d’un prestataire de services, certaines infos / transactions sécurisées Banque Carrefour de la sécurité sociale 55 04/07/2006
KSZ-BCSS Situation actuelle entreprises l’entreprise est représentée par une personne physique, le gestionnaire local, dont elle communique l’identité par écrit à l’ONSS Entreprise l’ONSS accorde une numéro d’utilisateur et un mot de passe au gestionnaire local le gestionnaire local - a accès à toutes les applications sécurisées à l’aide du numéro d’utilisateur et mot de passe ou de la CIE comme moyen d’authentification de son identité, selon le niveau de sécurité - peut attribuer des numéros d’utilisateur et mots de passe à d’autres utilisateurs au sein de l’entreprise pour authentifier leur identité lors de l’utilisation d’infos / transactions à faible sensibilité - peut introduire des autorisations pour d’autres utilisateurs au sein de l’entreprise Gestionnaire local Utilisateurs le gestionnaire local doit être une personne dont l’entreprise est finalement responsable et qui agit sous l’autorité directe de l’entreprise - il peut donc s’agir d’un travailleur, du chef d’entreprise, d’un gestionnaire, . . . - mais pas d’un comptable externe, … Uniquement propres données Banque Carrefour de la sécurité sociale 56 04/07/2006
KSZ-BCSS Situation actuelle entreprises n n par le biais d’un mandat signé transmis à l’ONSS, une entreprise peut désigner un prestataire de services qui peut utiliser pour son compte les applications sécurisées l’entreprise reste le responsable du traitement au sens de la Loi Traitement de Données à caractère personnel; le prestataire de services est un sous-traitant au sens de cette loi entre l’entreprise et le prestataire de services il doit dès lors y avoir un contrat qui répond aux contraintes de l’article 16 de la Loi Traitement de Données à caractère personnel (choix consciencieux, contrôle, détermination des conditions et de la responsabilité, …) le prestataire de services peut être une personne morale (p. ex. un secrétariat social) ou une personne physique (p. ex. un comptable) Banque Carrefour de la sécurité sociale 57 04/07/2006
KSZ-BCSS Prestataires de services d’entreprises Entreprise Mandat (répertoire ONSS) Secrétariat social Uniquement les données des entreprises affiliées auprès du secrétariat social concerné Gestionnaire local Utilisateurs Banque Carrefour de la sécurité sociale 58 04/07/2006
KSZ-BCSS Prestataires de services d’entreprises Entreprise Relation contractuelle (répertoire ONSS) Prestataire de services Personne morale Personne physique = Uniquement les données des entreprises pour lesquelles une relation contractuelle a été enregistrée Gestionnaire local Utilisateurs Banque Carrefour de la sécurité sociale 59 04/07/2006
KSZ-BCSS Niveaux de sécurité entreprises n n voir règlement d’utilisateur approuvé par le Comité de gestion BCSS niveau 0: transactions publiques, p. ex. - n niveau 1: uniquement accessible moyennant introduction du numéro d’utilisateur et du mot de passe ou CIE, p. ex. - n DIMONA via le portail et le serveur vocal demandes de détachement déclaration de chantier consultation répertoire des employeurs consultation obligation de retenue et responsabilité solidaire secteur de la construction consultation E-box consultation du fichier du personnel déclaration trimestrielle et transmission de propositions de modification via le portail déclaration de risques sociaux via le portail niveau 2 uniquement accessible moyennant CIE - consultation et modification de la déclaration trimestrielle via le portail toutes les applications par transfert de fichier • • DIMONA déclaration trimestrielle et (proposition de) modification déclaration de risques sociaux demandes de détachement (Gotot) Banque Carrefour de la sécurité sociale 60 04/07/2006
KSZ-BCSS Situation actuelle – autres acteurs du secteur social n n p. ex. communes, CPAS, notaires, huissiers de justice accès via extranet - utilisation de la gestion des utilisateurs et des accès des collaborateurs des institutions de sécurité sociale n accès via Internet - utilisation provisoire de la gestion des utilisateurs et des accès des entreprises - à partir du 4 ième trimestre 2006: utilisation de la gestion des accès et des utilisateurs des collaborateurs des institutions de sécurité sociale, si possible avec des PIP externes Banque Carrefour de la sécurité sociale 61 04/07/2006
KSZ-BCSS Quel niveau de sécurité ? n n décision incombe en premier lieu à l’instance qui met le service ou la transaction électronique à disposition, sous le contrôle du Comité de gestion de la BCSS (règlement d’utilisateur) et du Comité sectoriel de la sécurité sociale critères à prendre en compte - type de traitement: communication, consultation, modification, … - champ d’application personnel de la transaction: traitement de données sociales à caractère personnel de l’utilisateur uniquement ou également d’autres personnes - degré de confidentialité des types de données traitées - homogénéité du niveau de sécurité par catégorie d’utilisateurs - impact du traitement sur le réseau de la sécurité sociale n en plus du niveau de sécurité souhaité, l’utilisation de la signature électronique peut être requise pour prémunir l’institution contre toute contestation ultérieure Banque Carrefour de la sécurité sociale 62 04/07/2006
KSZ-BCSS Quelques évolutions souhaitées n n n application systématique du modèle de « policy enforcement » développement de PIP relatif à une caractéristique de collaborateur d’institution de sécurité sociale au sein du secteur social possibilité d’utilisation de PAP et PIP externes p. ex. pour - les prestataires de soins - les collaborateurs de la justice (p. ex. notaires, huissiers de justice, …) - les collaborateurs des communes - … Banque Carrefour de la sécurité sociale 63 04/07/2006
KSZ-BCSS Quelques évolutions souhaitées n offre systématique de propres PIP et PAP pour l’utilisation par des tiers, p. ex. - institutions coopérantes de sécurité sociale - SPF et SPP n coordination efficace de PIP et PAP avec application systématique du modèle de policy enforcement entre - autorités fédérales secteur social communautés et régions administrations provinciales et locales … Banque Carrefour de la sécurité sociale 64 04/07/2006
KSZ-BCSS Ticketing et accusé de réception n toute transaction reçoit un numéro unique ou un ticket l’octroi du ticket constitue pour l’utilisateur la preuve que la transaction a été enregistrée le ticket est utilisé à des fins d’identification unique de la transaction - dans l’accusé de réception pour l’utilisateur, p. ex. à titre de référence en cas de problèmes - dans le logging - lors d’un appel éventuel au centre de contact Banque Carrefour de la sécurité sociale 65 04/07/2006
KSZ-BCSS E-box et pages personnelles n quoi ? - espace sécurisé pour la mise à disposition de documents de façon électronique et sécurisée à l’attention d’un utilisateur - avec possibilité d’envoyer un mail vers les utilisateurs les informant qu’un document est à leur disposition, avec mention de l’URL dans le mail (push) - documents peuvent être mis à disposition • soit par une transaction portail • soit par une institution de sécurité sociale, au besoin via la BCSS n accessibilité ? - est créé automatiquement pour tout utilisateur - accessible via le portail de la sécurité sociale - utilisation du système de gestion des utilisateurs et des accès Banque Carrefour de la sécurité sociale 66 04/07/2006
KSZ-BCSS E-box et pages personnelles n situation actuelle - E-box pour les entreprises • un E-box par entreprise • gestion des utilisateurs et des accès des entreprises • gestionnaire local gère les accès, possibilité de sélectivité en fonction de l’application qui crée le document - page personnelle pour les collaborateurs de la sécurité sociale • une page personnelle par collaborateur d’une institution de sécurité sociale et une page personnelle par institution • gestion des accès et des utilisateurs des collaborateurs des institutions de sécurité sociale • chaque collaborateur a accès à l’ensemble des documents sur sa page personnelle • chaque collaborateur a accès aux types de documents sur la page personnelle de son institution auxquels le conseiller en sécurité de cette institution lui a donné accès Banque Carrefour de la sécurité sociale 67 04/07/2006
KSZ-BCSS E-box et pages personnelles n situation actuelle - page personnelle pour le citoyen • une page personnelle par citoyen • gestion des accès et des utilisateurs des citoyens • chaque citoyen a accès à l’ensemble des documents sur sa page personnelle • pas encore utilisée en production Banque Carrefour de la sécurité sociale 68 04/07/2006
KSZ-BCSS Logging n quoi ? - conserver • qui ou quelle application, identifiés à l’aide d’un numéro d’identification unique a utilisé • quand (date et heure) • concernant qui, identifié à l’aide du numéro d’identification de la sécurité sociale, du numéro BCE ou numéro ONSS • quel message ou quelle transaction, identifiés à l’aide d’un numéro de ticket unique • a exécuté quelle opération (création, consultation, modification, liste, …) • avec quel résultat (OK, NOK) • pas de logging du contenu des données échangées !!! n la pertinence du contenu des loggings relève toujours de la responsabilité du propriétaire de l’application conformément à la policy élaborée par le Comité général de coordination Banque Carrefour de la sécurité sociale 69 04/07/2006
KSZ-BCSS Logging et cercles de confiance LOG A B LOG GESTION PAR A C LOG GESTION PAR B D Institution de confiance A B LOGGING COMPLET = A + B + C / D Banque Carrefour de la sécurité sociale 70 LOG GESTION PAR D LOG Institution de confiance C & D 04/07/2006
KSZ-BCSS Logging – état d’avancement de l’implémentation n composant de base Security. Log - implémentation dans le front-end de l’application ou d’un autre service de base sur le portail de la sécurité sociale - déjà utilisé pour toutes les applications sur le portail de la sécurité sociale utilisées par les collaborateurs des institutions de sécurité sociale n application IRIS - disponible sur le portail de la sécurité sociale - consultation des loggings de toutes les applications portail et transactions GDAUT utilisées par les collaborateurs des institutions de sécurité sociale par: (chacun pour les utilisateurs qu’il est chargé de surveiller) • les conseillers en sécurité des institutions du réseau primaire de la BCSS • les responsables des services d’inspection sociale, dans le cadre de la délibération n° 04/32 du Comité sectoriel - avec la CIE comme moyen d’authentification de l’identité de l’utilisateur Banque Carrefour de la sécurité sociale 71 04/07/2006
KSZ-BCSS Application IRIS Application web, SEBA. et service web portail Log NATREG, RIP, WREP, DUC, . . . Application sur système Siemens Application sur système Stratus Application C/S Tuxedo Services Log LATG, DMFA Log accès DB ATCE et ADABAS) Log ONAFTS, FAT, RIP, . . . Regroupement quotidien (DMFA hebdomadaire) Fusionnement + traitement et introduction (SAS) Application SP 11 (Lotus Notes) Services Log Dimona (questions TP + Lotus notes) Données utilisateurs, applications, institutions, logging. Accès application IRIS via UMAF Process préparation application web (SAS) Process création CD-ROM application web IRIS Banque Carrefour de la sécurité sociale Portail SS 72 04/07/2006
KSZ-BCSS Gestion de la relation client n gestion intégrée de la relation avec l’utilisateur indépendamment des canaux et des services n liée à une gestion des utilisateurs et des accès, base pour une personnalisation ou approche ciblée et utilisation de mécanismes push n fournit feed-back pour l’amélioration constante des services Banque Carrefour de la sécurité sociale 73 04/07/2006
KSZ-BCSS Status questionis mandats n n mandats pour les entreprises sont régis par le règlement d’utilisateur mandats pour citoyens: délibération du Comité de surveillance n° 95/58 du 24 octobre 1995 fixe les modalités selon lesquelles un préposé peut obtenir communication des données sociales à caractère personnel d’une personne physique - mandant Banque Carrefour de la sécurité sociale 74 04/07/2006
KSZ-BCSS Délibération n° 95/58 n communication au mandataire est autorisée - dans la mesure où il dispose d’un mandat écrit mentionnant • les données d’identification du mandant et du mandataire • la signature du mandant • les types de données à caractère personnel que le mandataire peut obtenir • les finalités pour lesquelles ces données peuvent être traitées par le mandataire • la durée du mandat - dans la mesure où il dispose d’un mandat tacite conformément aux modalités suivantes • le mandataire est une association de défense des intérêts dont le mandant est membre ou auprès de laquelle il est affilié, p. ex. un syndicat, une mutualité, une association de pensionnés, une organisation de travailleurs indépendants, une association de personnes handicapées, … • le mandant fournit la preuve de son affiliation ou de son adhésion au moyen de faits objectifs, p. ex. par la mention du numéro d’affiliation du mandant ou d’autres éléments Banque Carrefour de la sécurité sociale 75 04/07/2006
KSZ-BCSS Evolution ? n n associations qui souhaitent agir pour le compte d’un mandataire tacite enregistrent les membres ou les affiliés dans un PIP de membres ou d’affiliés répond aux conditions pour être accepté au sein du système de cercles de confiance les transactions utilisées font l’objet d’un logging il est examiné si la délibération n° 95/58 doit être adaptée Banque Carrefour de la sécurité sociale 76 04/07/2006
KSZ-BCSS Pour plus d’informations n portail de la sécurité sociale - https: //www. socialsecurity. be n sites web relatifs à la carte d’identité électronique - http: //eid. belgium. be - http: //www. cardreaders. be/en/default. htm n site web de la Banque Carrefour de la sécurité sociale - http: //www. bcss. fgov. be n site web personnel de Frank Robben - http: //www. law. kuleuven. ac. be/icri/frobben Banque Carrefour de la sécurité sociale 77 04/07/2006
Merci ! Questions ? Banque Carrefour de la sécurité sociale 78 04/07/2006
Скачать презентацию KSZ-BCSS Vers une architecture orientée services et l utilisation
d56fb9f612112bece68b42115ea71bd4.ppt