{"id":5890,"date":"2025-01-10T19:04:25","date_gmt":"2025-01-10T19:04:25","guid":{"rendered":"https:\/\/ibactech.ca\/security-authentication-for-broker-insurer-data-exchange-national-position-paper-2\/"},"modified":"2025-03-10T19:50:34","modified_gmt":"2025-03-10T19:50:34","slug":"security-authentication-for-broker-insurer-data-exchange-national-position-paper-2","status":"publish","type":"post","link":"https:\/\/ibactech.ca\/fr\/security-authentication-for-broker-insurer-data-exchange-national-position-paper-2\/","title":{"rendered":"PRISE DE POSITION NATIONALE SUR L\u2019AUTHENTIFICATION DES DONN\u00c9ES \u00c9CHANG\u00c9ES ENTRE COURTIERS ET ASSUREURS"},"content":{"rendered":"
\n
\n
\n
\n
\n
\n
\n
\n

Il est beaucoup plus efficient pour les courtiers et les assureurs d\u2019\u00e9changer des informations par voie \u00e9lectronique qu\u2019en ayant recours aux m\u00e9thodes traditionnelles.
\nL\u2019objet commercial de ces \u00e9changes et les r\u00f4les des parties \u00e0 la correspondance n\u2019ont toutefois jamais chang\u00e9; les r\u00f4les distincts et les responsabilit\u00e9s respectives du courtier et de l\u2019assureur demeurent les m\u00eames.
\nIl est donc essentiel que les r\u00e8gles et les protocoles de s\u00e9curit\u00e9 visant les \u00e9changes de donn\u00e9es par voie \u00e9lectronique refl\u00e8tent le mod\u00e8le \u00e9conomique sous-jacent.<\/p>\n

Les dirigeants de cabinets de courtage g\u00e8rent leurs propres activit\u00e9s et sont responsables en dernier ressort des actions de leurs employ\u00e9s.
\nUn assureur conf\u00e8re \u00e0 chaque cabinet de courtage le pouvoir d\u2019engager sa responsabilit\u00e9, et les contrats entre courtiers et assureurs pr\u00e9cisent clairement que les cabinets de courtage sont responsables des erreurs ou des omissions de leurs employ\u00e9s, ou de leurs manquements en ce qui concerne les obligations relatives au pouvoir d\u2019engager la responsabilit\u00e9 de l\u2019assureur.  <\/p>\n

Les courtiers communiquent avec les assureurs par divers moyens, par exemple les notes \u00e9crites et le t\u00e9l\u00e9phone ou, plus r\u00e9cemment, les courriels et les \u00e9changes de donn\u00e9es par voie \u00e9lectronique.
\nLes assureurs n\u2019attribuent pas \u00e0 un employ\u00e9 particulier le pouvoir de correspondre avec les souscripteurs ou de transmettre les instructions du client; depuis toujours, c\u2019est aux dirigeants du cabinet de courtage qu\u2019incombe la responsabilit\u00e9 de d\u00e9signer cet employ\u00e9.<\/p>\n

Le fait que les donn\u00e9es soient transmises aux assureurs par voie \u00e9lectronique par l\u2019interm\u00e9diaire d\u2019un site Web ne modifie en rien cette responsabilit\u00e9. Un cabinet de courtage continue de superviser la formation et les actions de ses employ\u00e9s et est responsable des d\u00e9cisions qui sont prises en son nom.
\nCette supervision s\u2019\u00e9tend \u00e0 la s\u00e9curit\u00e9 des r\u00e9seaux internes et des syst\u00e8mes de gestion du cabinet de courtage qui repose sur des identifiants utilisateurs et des mots de passe individuels contr\u00f4l\u00e9s de fa\u00e7on centralis\u00e9e.
\nLorsque l\u2019identifiant d\u2019un utilisateur est supprim\u00e9 ou d\u00e9sactiv\u00e9, cet utilisateur perd tous ses acc\u00e8s, y compris aux applications li\u00e9es auxquelles le syst\u00e8me central de la soci\u00e9t\u00e9 de courtage donne acc\u00e8s.<\/p>\n

Il existe toutefois des risques importants lorsqu\u2019une personne peut acc\u00e9der directement aux syst\u00e8mes d\u2019un assureur sans passer par le syst\u00e8me de gestion du cabinet de courtage d\u00fbment identifi\u00e9.
\nS\u2019il suffit d\u2019avoir une connexion Internet pour acc\u00e9der au syst\u00e8me d\u2019un assureur, quiconque disposant d\u2019un identifiant et d\u2019un mot de passe peut donc ouvrir une session sans peine dans ce syst\u00e8me, peu importe o\u00f9 il se trouve.
\nLorsqu\u2019un employ\u00e9 quitte ses fonctions, les dirigeants du cabinet de courtage doivent s\u2019assurer d\u2019annuler sans d\u00e9lai les mots de passe de cet employ\u00e9 pour chacun des assureurs, mais ces annulations demandent souvent l\u2019intervention des administrateurs de syst\u00e8me surcharg\u00e9s.<\/p>\n

Outre l\u2019exposition potentielle \u00e0 ce risque important, la complexit\u00e9 de la t\u00e2che de programmation et les activit\u00e9s de maintenance continues requises pour la gestion des mots de passe individuels des nombreux employ\u00e9s du cabinet de courtage pour les divers assureurs entra\u00eenent des co\u00fbts non n\u00e9gligeables \u00e0 la fois pour les courtiers et (particuli\u00e8rement) pour les assureurs.<\/p>\n

L\u2019adoption d\u2019une m\u00e9thode d\u2019authentification fond\u00e9e sur un mot de passe unique attribu\u00e9 au cabinet de courtage permettrait de r\u00e9duire le risque d\u2019une utilisation \u00e0 mauvais escient par des parties externes, et \u00e9liminerait plusieurs couches de complexit\u00e9 et de co\u00fbts inutiles. Le syst\u00e8me de l\u2019assureur pourrait v\u00e9rifier que le message entrant provient bel et bien d\u2019un cabinet de courtage autoris\u00e9 et que l\u2019information re\u00e7ue est bel et bien approuv\u00e9e par le cabinet.<\/p>\n

Il va sans dire que l\u2019exp\u00e9diteur d\u2019une communication, qu\u2019il s\u2019agisse d\u2019un employ\u00e9 du cabinet de courtage ou de l\u2019assureur, devra demeurer identifiable aux fins de l\u2019audit.
\nDe plus, le cabinet de courtage devra prendre les mesures n\u00e9cessaires pour assurer la s\u00e9curit\u00e9 et la confidentialit\u00e9 de tous les mots de passe des utilisateurs, et veiller \u00e0 ce que l\u2019acc\u00e8s aux syst\u00e8mes internes soit supprim\u00e9 sans d\u00e9lai lorsqu\u2019un employ\u00e9 quitte ses fonctions.<\/p>\n

L\u2019ACAC souligne de nouveau le pouvoir dont disposent les cabinets de courtage pour g\u00e9rer leurs propres activit\u00e9s et leur personnel.
\nPour servir l\u2019int\u00e9r\u00eat de tous les acteurs du secteur de l\u2019assurance, l\u2019ACAC est d\u00e9termin\u00e9e \u00e0 promouvoir une utilisation efficace de la technologie pour mieux servir les clients, et l\u2019abandon des mod\u00e8les de communication qui privil\u00e9gient l\u2019utilisation d\u2019un portail.
\nL\u2019ACAC invite les assureurs \u00e0 prendre en consid\u00e9ration les facteurs suivants lorsqu\u2019ils con\u00e7oivent et \u00e9tablissent des interfaces \u00e9lectroniques avec les courtiers partenaires.<\/p>\n

Principes du mod\u00e8le de s\u00e9curit\u00e9 de l\u2019ACAC<\/strong><\/p>\n