Se da un sito ASP.NET con impersonation state caricando un vostro IConfigurationSectionHandler l'utente che esegue System.Configuration.ConfigurationManager.GetSection non é l'utente loggato nella pagina, ma bensì "Network Service"!!!
Attenti perché da quello che posso vedere questo "dettaglio" non é documentato (oppure é documentato chissà dove).