Modernisation du projet pilote d'identité numérique

Résumé#

Ce projet de loi demande au secrétaire aux Anciens Combattants de mettre en place un programme pilote à durée limitée pour moderniser la manière dont le VA vérifie et authentifie les personnes qui utilisent ses services numériques. Le pilote remplacerait les vérifications à facteur unique ou basées sur la connaissance par des solutions d'identité numérique à facteurs multiples et de plus haute assurance qui répondent à certaines normes fédérales. Les objectifs déclarés sont de réduire la fraude et les paiements inappropriés, d'améliorer l'accès sécurisé pour les anciens combattants et autres bénéficiaires, et de mesurer les coûts et les effets opérationnels avant tout déploiement plus large.

• Changement principal : un pilote pour améliorer la vérification d'identité et l'authentification sur jusqu'à trois plateformes numériques à fort volume du VA (les exemples incluent les demandes d'invalidité, l'inscription à la santé, les prestations d'éducation et les systèmes de prêts immobiliers).
• Les solutions doivent être disponibles commercialement, répondre aux normes d'assurance d'identité et d'authentification du NIST (IAL2 et AAL2), et respecter les lois fédérales sur la cybersécurité et la vie privée.
• Le financement est limité à un maximum de 25 millions de dollars au total, à partir de montants déjà autorisés pour l'informatique du VA ; aucune nouvelle appropriation n'est autorisée.
• Le projet de loi exige un plan de mise en œuvre, des rapports intermédiaires et finaux aux comités du Congrès sur les anciens combattants, et une évaluation indépendante du GAO.
• L'autorité du pilote prend fin deux ans après l'entrée en vigueur de la loi, et le VA ne peut pas élargir le champ d'application ou le financement sans une nouvelle loi.

Ce que cela signifie pour vous#

• Anciens combattants et demandeurs de prestations : Le pilote pourrait changer la manière dont vous vous connectez, créez des comptes ou récupérez l'accès aux services en ligne sélectionnés du VA. Vous pourriez être amené à utiliser une authentification plus forte (par exemple, des méthodes à facteurs multiples) ou à fournir plus de preuves d'identité pour certaines transactions.
• Personnes demandant des prestations spécifiques : Si une plateforme que vous utilisez (demandes d'invalidité, inscription à la santé, prestations d'éducation ou prêts immobiliers) est choisie, vous pourriez voir des exigences de connexion et des flux de soutien différents pendant le pilote.
• Anciens combattants avec un accès Internet limité, des handicaps ou une faible littératie numérique : Le projet de loi demande une évaluation des impacts sur ces groupes mais ne précise pas d'accommodements exacts. Cela pourrait affecter la facilité avec laquelle certains anciens combattants peuvent utiliser les systèmes mis à jour.
• Personnel informatique du VA et bureaux de programme : Ils géreraient le pilote, intégreraient des produits d'identité commerciaux, collecteraient des indicateurs et rapporteraient les résultats.
• Fournisseurs d'identité commerciaux : Seules les solutions disponibles commercialement peuvent être utilisées, donc les fournisseurs privés qui répondent aux normes du NIST pourraient concourir pour fournir le VA.
• Congrès et organismes de surveillance : Recevront des plans de mise en œuvre, des rapports intermédiaires/final et une évaluation du GAO de 18 mois pour décider d'élargir, de modifier ou d'arrêter le programme.

Dépenses#

Coût public estimé : jusqu'à 25 000 000 $, tiré des fonds existants de l'informatique du VA ; aucune nouvelle autorisation de fonds.

• Le projet de loi plafonne les dépenses du VA pour le pilote à 25 millions de dollars au total et stipule que ces fonds doivent provenir de montants déjà autorisés pour les systèmes d'information technologique en vertu de la loi du VA.
• Aucun avis fiscal séparé ou répartition détaillée des coûts n'est inclus dans le texte du projet de loi.
• D'autres coûts probables (non quantifiés dans le projet de loi) pourraient inclure des travaux d'intégration, un soutien et une formation des utilisateurs, des contrats avec des fournisseurs, et une administration et un reporting internes.
• L'évaluation du GAO et les rapports requis pourraient impliquer du temps de personnel et des coûts administratifs, mais le projet de loi ne prévoit pas de financement séparé pour ces tâches.

Point de vue des partisans#

• Le projet de loi semble destiné à moderniser les vérifications d'identité obsolètes et à réduire la fraude et les paiements inappropriés liés à l'identité.
• Les partisans pourraient faire valoir que l'utilisation de solutions disponibles commercialement qui répondent aux normes IAL2/AAL2 du NIST augmentera la confiance dans les services numériques du VA et protégera les comptes des anciens combattants.
• Un pilote permet au VA de tester des changements sur un nombre limité de plateformes et de mesurer les effets opérationnels et de coût avant un déploiement complet.
• L'authentification à niveaux de risque (adaptive) pourrait se concentrer sur des vérifications plus strictes là où le risque ou le potentiel de préjudice est plus élevé, réduisant ainsi les frictions inutiles pour les actions à faible risque.

Point de vue des opposants#

• Une préoccupation est que l'authentification plus forte pourrait créer de nouvelles barrières d'accès pour les anciens combattants dans les zones rurales, ceux ayant des handicaps ou ceux ayant des compétences numériques limitées ; le projet de loi exige une étude à ce sujet mais ne mandate pas d'accommodements spécifiques.
• Il n'est pas clair si 25 millions de dollars suffisent pour mettre en œuvre, intégrer et évaluer des solutions de haute assurance sur même trois grandes plateformes du VA.
• Le projet de loi ne précise pas quelles plateformes seront choisies, le calendrier de début du pilote, ou les méthodes détaillées pour mesurer les économies de coûts.
• Il pourrait y avoir des risques de mise en œuvre liés à l'intégration avec les systèmes existants du VA, le partage de données, les protections de la vie privée, et la maintenance continue que le projet de loi ne décrit pas entièrement.
• Le pilote est limité aux solutions disponibles commercialement et pourrait ne pas traiter les cas où des intégrations personnalisées sont nécessaires.