Le drone comme capteur permanent : trois hypothèses pour la sûreté des sites

Un survol de drone au-dessus d'un site industriel a longtemps été traité comme un incident isolé : une nuisance, parfois une intrusion, rarement un acte de renseignement. Cette lecture devient intenable dès lors que l'appareil ne cherche ni à détruire ni à dérober, mais à observer la réaction qu'il provoque. Ce que le drone emporte alors n'est pas une image du site : c'est une mesure du dispositif qui le protège, de ses délais, de ses seuils de déclenchement et de ses points aveugles.

Counter Threat Center rapporte que les autorités allemandes ont qualifié de menace hybride potentiellement liée à un État le survol par drone d'un Antonov ukrainien à Leipzig. La même source décrit un usage plus systématique de ces appareils : des drones employés pour sonder les protocoles de défense d'infrastructures critiques, les adversaires cartographiant les temps de réponse et les vulnérabilités en exploitant une asymétrie de coût. En Colombie, toujours selon Counter Threat Center, des dissidents des FARC adaptent des drones commerciaux à des fins offensives.

Trois hypothèses de travail structurent cette note. Aucune n'est présentée comme probable : chacune décrit un régime cohérent vers lequel la sûreté des sites industriels tendrait si certains paramètres se déplaçaient. L'objectif n'est pas de deviner lequel s'imposera, mais de repérer ce que chacun exige comme organisation, comme budget et comme doctrine, afin qu'une direction de la sûreté sache reconnaître celui qu'elle est en train de choisir sans l'avoir décidé.

Du survol isolé au capteur permanent : ce que le changement de statut implique

Un incident se traite ; un capteur se contre. La différence n'est pas rhétorique, elle commande toute la chaîne de décision. Un incident déclenche une main courante, éventuellement un dépôt de plainte, et se referme sur lui-même. Un capteur permanent suppose une hypothèse adverse continue : quelqu'un accumule, corrèle et met à jour une représentation du site. La question posée aux équipes cesse d'être « que s'est-il passé cette nuit » pour devenir « que sait désormais celui qui observe », ce qui n'appelle ni les mêmes outils ni les mêmes compétences.

Cette bascule change aussi la valeur des données de sûreté elles-mêmes. Les horaires de ronde, les délais d'intervention, la position des caméras, la durée d'une levée de doute deviennent des informations sensibles, alors qu'elles étaient jusqu'ici de simples paramètres d'exploitation. Une organisation qui décrit ses procédures dans un appel d'offres public, ou qui laisse un prestataire les détailler dans une plaquette, alimente le même corpus adverse que le drone.

La conséquence organisationnelle est immédiate : la sûreté physique cesse d'être séparable de la veille informationnelle. Le renseignement collecté par un drone se recoupe avec des sources ouvertes, imagerie satellite commerciale, permis de construire, annonces de recrutement, publications de fournisseurs, appels d'offres de maintenance. C'est ce croisement, et non le survol pris isolément, qui produit une cartographie exploitable. Les reportages publiés par Le Fil de la Veille sur la documentation des survols insistent régulièrement sur ce point de méthode.

Hypothèse 1 : la normalisation, le survol devient un bruit de fond toléré

Premier régime : le nombre de survols croît au point que la réponse individualisée devient matériellement impossible. Les équipes cessent de qualifier chaque événement, les mains courantes se remplissent sans être exploitées, les autorités traitent en priorité les cas où un dommage matériel est constaté. Le survol se banalise comme s'est banalisé le balayage de ports sur un réseau informatique : omniprésent, majoritairement inoffensif, statistiquement porteur d'une minorité d'événements graves que personne n'isole plus.

Ce régime a un coût peu visible : il détruit la ligne de base. Sans qualification systématique, une organisation perd la capacité de dire si l'activité observée au-dessus de son site est ordinaire ou anormale, et donc de détecter la phase de préparation d'une opération réelle. La normalisation n'est pas une posture doctrinale assumée : c'est une renonciation à la mesure, prise faute de moyens et rarement documentée comme telle.

Ce que ce scénario impose, s'il se réalise, tient en une contrepartie minimale : un décompte automatisé et systématique, même sommaire, remplaçant la qualification manuelle devenue impraticable. Compter mal vaut mieux que ne pas compter, à condition de compter de la même façon d'un mois sur l'autre et d'un site sur l'autre. La comparabilité dans le temps devient l'unique propriété à préserver quand la finesse d'analyse n'est plus tenable avec les effectifs disponibles.

Hypothèse 2 : la judiciarisation, chaque survol devient un dossier

Deuxième régime, opposé au premier : la qualification de menace hybride, telle que retenue dans le cas rapporté par Counter Threat Center, se généralise et devient la grille de lecture ordinaire. Le survol entre dans une catégorie juridique qui déclenche des obligations de signalement, une conservation des éléments et une coopération avec les autorités. Le site n'est plus seulement une victime : il devient producteur de preuve dans une procédure qu'il ne pilote pas.

Les exigences se déplacent alors vers la chaîne de garde. Un enregistrement vidéo horodaté, une trace radar, un relevé de fréquences, un témoignage d'agent doivent être conservés dans des conditions qui résistent à la contestation, avec une continuité documentée entre la captation et la remise aux enquêteurs. Peu de directions de la sûreté industrielle sont outillées pour cela, parce que leurs dispositifs ont été conçus pour dissuader et pour alerter, jamais pour prouver devant un tribunal.

Le second effet de ce régime est temporel. Une procédure ouverte crée un flux d'informations publiques, réquisitions, auditions, décisions intermédiaires, qui alimente en retour la veille de l'organisation et celle de ses concurrents. L'événement, initialement confidentiel, se trouve documenté par le processus censé le traiter. Cette publicité involontaire mérite d'être anticipée au moment où l'on décide de signaler.

Un drone qui repart sans rien emporter a souvent obtenu ce qu'il venait chercher : le temps qu'il vous a fallu pour réagir.

Hypothèse 3 : l'internalisation, la détection devient une fonction industrielle

Troisième régime : les sites s'équipent de leurs propres moyens de détection, radiofréquence, acoustique, optique, et internalisent une fonction jusqu'ici confiée aux forces publiques. Le mouvement est déjà engagé sur les emprises les plus sensibles. Il transforme la sûreté physique en système d'information à part entière, avec ses capteurs, ses faux positifs, ses règles de corrélation et sa dette technique.

L'internalisation déplace le problème plutôt qu'elle ne le supprime. Détecter sans pouvoir intervenir produit une conscience continue de la menace sans réponse associée, situation coûteuse en attention et démoralisante pour des équipes qui constatent sans agir. Le cadre juridique de la neutralisation reste, dans la plupart des pays, réservé aux autorités, ce qui laisse l'exploitant avec une capacité d'observation étendue et une capacité d'action nulle, asymétrie rarement anticipée au moment de l'investissement.

L'asymétrie de coût décrite par Counter Threat Center joue ici à plein et mérite d'être posée sans détour. Un appareil du commerce représente une dépense marginale pour celui qui l'envoie ; un dispositif de détection multicapteur couvrant un périmètre étendu représente un investissement d'un tout autre ordre, assorti de coûts d'exploitation permanents. Aucun budget de sûreté ne suit une telle pente indéfiniment, ce qui rend ce régime soutenable pour un petit nombre de sites et intenable comme doctrine générale.

Ce que les trois hypothèses exigent en commun d'une direction de la sûreté

Les trois régimes divergent sur presque tout et convergent sur un point : ils supposent une capacité de qualification homogène dans le temps. Sans définition stable de ce qui compte comme survol, sans horodatage fiable, sans conservation des éléments, aucune des trois trajectoires ne se pilote sérieusement. La première exige un décompte, la deuxième une preuve, la troisième une corrélation. Toutes exigent une donnée décrite de la même manière d'un site à l'autre et d'une année sur l'autre.

La deuxième exigence commune tient au rattachement au reste de la veille. Un survol prend son sens lorsqu'il est rapproché d'un mouvement d'actionnariat, d'un appel d'offres public, d'une tension géopolitique sur une chaîne d'approvisionnement ou d'une campagne informationnelle visant l'exploitant. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues et fait remonter en temps réel les signaux qui entourent un site, ce qui donne au responsable sûreté le contexte que ses capteurs ne produisent pas.

La troisième exigence tient à l'organisation elle-même. Décider a priori du seuil qui fait basculer un événement du registre de l'exploitation vers celui du signalement évite de trancher dans l'urgence, sous la pression d'une nuit d'incident et avec une information partielle. Ce seuil relève d'un arbitrage de direction et non d'une règle technique : il engage la relation avec les autorités, la communication de crise et la couverture assurantielle. Le fixer à froid est la seule décision que les trois hypothèses rendent également utile.

Questions fréquentes

Un survol de drone au-dessus d'un site industriel doit-il être signalé ?

Le régime applicable dépend du pays, du statut du site et de la présence éventuelle d'une qualification particulière comme celle retenue dans le cas allemand rapporté par Counter Threat Center. La règle utile est d'abord organisationnelle : définir à l'avance le seuil de signalement, le documenter et s'y tenir, plutôt que d'arbitrer chaque nuit selon la disponibilité des équipes. Un seuil écrit protège mieux qu'un jugement improvisé, y compris juridiquement.

Comment distinguer un survol de curiosité d'une reconnaissance organisée ?

Aucun indice isolé ne tranche la question. La répétition, la régularité horaire, la trajectoire suivant les limites de propriété, la corrélation avec des exercices ou des livraisons, et le comportement de l'appareil face au déclenchement d'une alerte forment un faisceau. C'est précisément pourquoi la ligne de base compte autant : sans historique comparable, aucun de ces critères ne se lit, puisqu'il n'existe alors pas de normal auquel comparer l'observation du soir.

Quelles traces conserver après un survol pour qu'elles restent exploitables ?

Les éléments captés, vidéo, relevés techniques, comptes rendus d'agents, avec un horodatage vérifiable et une continuité documentée entre la captation et l'archivage. S'y ajoute le contexte du site à cet instant précis : effectifs présents, opérations en cours, livraisons et visites prévues. Cette seconde couche est la plus souvent oubliée et la plus utile plusieurs mois après, quand il s'agit de comprendre ce que l'observateur a réellement pu voir.

La détection de drones relève-t-elle de la sûreté physique ou de la veille ?

Des deux, et c'est le point le plus difficile à organiser dans une entreprise. Le capteur appartient au monde physique, l'interprétation appartient au monde informationnel. Les organisations qui séparent strictement les deux fonctions produisent des mains courantes que personne ne relie à leur environnement stratégique. Un rattachement explicite, même léger, entre l'équipe sûreté et la cellule de veille suffit généralement à faire remonter ce qui compte vers la direction.