Agrégation, seuil de sensibilité, exposition : trois notions distinctes

Une photographie de parking, un organigramme partiel, un horaire de livraison, une offre d'emploi détaillée : chacun de ces éléments est parfaitement anodin. Assemblés, datés et recoupés, ils décrivent un site, ses effectifs, ses cycles d'activité et ses dépendances. Ce basculement du banal vers le sensible est le mécanisme central de la collecte en sources ouvertes, et il reste largement absent des politiques internes de classification.

Trois notions servent à en rendre compte, et elles sont régulièrement employées l'une pour l'autre. L'agrégation décrit un mécanisme de production de valeur. Le seuil de sensibilité décrit un jugement relatif. L'exposition décrit un état mesurable. Les confondre produit des politiques de sécurité qui protègent lourdement des documents peu utiles tout en laissant en accès libre la matière réellement exploitable.

Ce repère les sépare et propose une grille utilisable en cellule de veille comme en direction de la sûreté. Il s'appuie sur une alerte publique récente que Le Fil de la Veille a rapportée, et sur une observation constante des enquêtes en sources ouvertes : ce qui rend une organisation lisible de l'extérieur est rarement ce qu'elle protège le plus.

L'agrégation : la valeur naît du recoupement, pas de la pièce

L'agrégation désigne le fait qu'un ensemble d'informations vaut davantage que la somme de ses éléments. Un nom seul n'apprend rien. Un nom associé à une fonction, à un site, à un horaire et à une photographie d'uniforme constitue une fiche exploitable pour une approche ciblée. La sensibilité apparaît à l'assemblage, ce qui explique qu'aucun examen document par document ne la détecte.

Le phénomène s'accentue avec la temporalité. Une publication isolée décrit un état, une série de publications décrit un rythme : périodes de forte activité, dates de maintenance, arrivées et départs, rotations d'équipes. Les cycles sont plus précieux que les instantanés, parce qu'ils permettent d'anticiper au lieu de constater, et ils se reconstituent à partir de contenus que personne ne songerait à restreindre.

Une conséquence méthodologique en découle directement. L'unité pertinente d'analyse n'est pas le document mais l'entité décrite : un site, une fonction, un projet, une personne. Reconstituer ce qu'un tiers apprendrait en rassemblant tout ce qui est publiquement disponible sur cette entité constitue le seul exercice qui reproduise fidèlement le travail d'un collecteur adverse.

Le seuil de sensibilité : une propriété relative, jamais intrinsèque

Le seuil de sensibilité est le point à partir duquel un ensemble devient exploitable contre l'organisation. Il ne dépend pas seulement du contenu, mais de qui regarde et de ce que cette partie cherche à obtenir. Un plan d'implantation intéresse un concurrent pour des raisons commerciales, un service de renseignement pour d'autres, un groupe malveillant pour d'autres encore. Le même ensemble franchit trois seuils différents.

Le temps déplace ces seuils dans les deux sens. Une information devient sensible parce qu'un projet entre en phase critique, ou cesse de l'être parce qu'une opération est annoncée publiquement. Une classification établie une fois pour toutes est donc structurellement fausse quelques mois plus tard, ce qui plaide pour une révision périodique adossée aux échéances réelles de l'organisation.

Il faut également distinguer le seuil de sensibilité du niveau de confidentialité administratif. Le second est une décision interne, opposable et documentée. Le premier est une évaluation du risque réel, indépendante des tampons apposés. Un ensemble entièrement composé de pièces non classifiées franchit sans difficulté un seuil élevé de sensibilité, et c'est précisément ce cas de figure qui échappe aux dispositifs habituels.

L'exposition : ce qui est atteignable, pas ce qui est secret

L'exposition mesure la part d'informations qu'un tiers atteint sans moyen particulier : moteurs de recherche, registres publics, réseaux professionnels, publications des salariés, sites de fournisseurs, appels d'offres, images satellitaires accessibles. C'est un état observable, donc mesurable, et il évolue chaque semaine sans qu'aucune décision interne n'ait été prise.

L'erreur la plus répandue consiste à confondre exposition et négligence. Une organisation qui recrute publie des offres décrivant ses technologies. Une organisation qui répond à des marchés publics laisse des traces documentaires. Une organisation qui communique montre ses locaux. L'exposition est le prix normal de l'activité économique, et l'objectif raisonnable est de la connaître, pas de la ramener à zéro.

Cette exposition se compose largement de contributions extérieures. Fournisseurs qui citent leurs références, partenaires qui détaillent un projet commun, salariés qui décrivent leurs missions, presse locale qui documente une implantation. Une part significative de ce qui rend une organisation lisible est publiée par des tiers, ce qui rend la surveillance externe indispensable et la seule discipline interne insuffisante.

L'alerte sur les micro-fuites et ce qu'elle met en évidence

The Daily Tribune rapporte l'alerte d'Adel Al Assoomi, membre du Conseil de la Choura de Bahreïn, sur le danger que représentent les micro-fuites de données pour la sécurité nationale. L'argument porte précisément sur le mécanisme d'agrégation : des informations isolées, photos, noms, horaires, révèlent par recoupement en sources ouvertes des infrastructures et des failles.

La formulation retenue mérite d'être notée, parce qu'elle déplace la responsabilité. Selon The Daily Tribune, l'élu appelle à la fois à des lois renforcées contre l'espionnage et à un devoir civique de protection de l'information. Le second volet reconnaît implicitement que l'essentiel de la matière agrégeable n'est pas dérobé : il est publié volontairement, par des acteurs qui n'en mesurent pas la portée cumulée.

Une prudence d'analyse s'impose toutefois. Le raisonnement par agrégation justifie facilement une restriction indéfinie, puisque tout élément est agrégeable en principe. Une doctrine praticable doit donc nommer les ensembles réellement critiques, plutôt que d'ériger la prudence en réflexe généralisé qui paralyserait le recrutement, la communication et la relation commerciale sans réduire le risque principal.

Conséquence organisationnelle : classifier des ensembles, pas des fichiers

La traduction opérationnelle consiste à définir un petit nombre d'ensembles sensibles et à les décrire par ce qui les compose. Par exemple : tout ce qui relie une personne, un site et un horaire ; tout ce qui relie un fournisseur, un composant et un calendrier ; tout ce qui relie une implantation, une capacité et un contrat. Ces triplets constituent des règles vérifiables.

Cette approche change la nature du contrôle. Il ne s'agit plus d'interdire la publication d'un document, mais d'éviter que la publication d'un troisième élément vienne compléter un ensemble déjà à moitié constitué. Le contrôle se déplace vers l'amont, au moment où une communication, une offre d'emploi ou une fiche de référence client est préparée.

Elle suppose aussi une surveillance de ce que les tiers publient, puisque le troisième élément vient souvent de l'extérieur. NewsCore (www.newscore.fr) couvre en continu des millions de sources, détecte les mentions d'une organisation, de ses sites et de ses partenaires, et fait remonter les signaux pertinents en temps réel avec le lien vers la publication d'origine.

Mesurer son exposition agrégée : trois indicateurs praticables

Le premier indicateur est le taux de complétude des ensembles définis. Pour chaque triplet critique, on note combien d'éléments sont déjà atteignables en sources ouvertes. Un ensemble complété aux deux tiers appelle une attention immédiate, non parce qu'un incident a eu lieu, mais parce que la marge restante avant exploitabilité est devenue mince.

Le deuxième indicateur est le délai de reconstitution. On mesure le temps qu'un analyste met à assembler un ensemble critique en partant de zéro, avec des outils publics et sans accès interne. Cette mesure, répétée chaque semestre, dit si l'exposition progresse ou recule, et elle a l'avantage de produire un chiffre compréhensible en comité de direction.

Le troisième indicateur est la part de contribution externe : quelle proportion de la matière collectée provient de tiers plutôt que de l'organisation. Une part élevée oriente l'action vers les clauses contractuelles et la sensibilisation des partenaires. Les travaux méthodologiques publiés par l'Observatoire de l'Intelligence Économique fournissent des protocoles reproductibles pour établir ces mesures dans la durée.

Rien de ce qui compose un ensemble critique n'est secret. C'est exactement pour cette raison qu'aucune politique de classification document par document ne le protège.

Questions fréquentes

Qu'appelle-t-on agrégation en sources ouvertes ?

C'est le fait de rassembler des informations publiques et anodines pour reconstituer un ensemble qui ne l'est pas. Le mécanisme n'a rien d'anecdotique : il constitue le mode de production ordinaire du renseignement en sources ouvertes. Sa conséquence pratique est que la protection doit porter sur des combinaisons d'éléments, puisque chacun d'eux, examiné séparément, ne justifie aucune restriction.

Comment déterminer le seuil de sensibilité d'un ensemble d'informations ?

En nommant l'adversaire et son objectif, puis en se demandant ce que l'ensemble lui apporte concrètement. Un ensemble qui économise plusieurs semaines de collecte à un concurrent a franchi un seuil, même si aucune pièce n'est confidentielle. Cette évaluation se refait périodiquement, car un projet qui entre en phase sensible modifie le seuil sans qu'aucun document n'ait changé.

Exposition et vulnérabilité sont-elles la même chose ?

Non. L'exposition décrit ce qui est visible et atteignable de l'extérieur, la vulnérabilité décrit une faiblesse exploitable. Une organisation très exposée mais bien protégée reste difficile à atteindre, tandis qu'une organisation peu visible peut rester fragile. Les deux notions se mesurent séparément et appellent des réponses différentes, la première par la veille, la seconde par la sécurité.

Faut-il réduire l'exposition à zéro ?

Ce serait renoncer à recruter, à communiquer et à vendre. L'objectif réaliste consiste à connaître son exposition, à identifier les quelques ensembles dont la complétion crée un risque sérieux, et à agir sur le dernier élément manquant plutôt que sur tous les autres. Une politique lisible et appliquée sur trois ensembles vaut mieux qu'une doctrine générale que personne ne respecte.