Le renseignement a un sens licite et un sens illicite

Le vocabulaire du renseignement a gagné les logiciels d’entreprise. Des produits se présentent comme offrant une « conscience de la situation », une « image opérationnelle commune », une « évaluation de la menace ». C’est parfois un raccourci utile, parfois du théâtre, et le plus souvent cela n’a aucune importance.

Cela en prend lorsqu’un produit emprunte le nom des disciplines elles-mêmes : SIGINT, HUMINT, GEOINT, OSINT. Ces sigles désignent des pratiques précises, et deux des quatre décrivent ce qu’une entreprise ne doit pas faire.

Ce que ces mots veulent vraiment dire

L’OSINT, c’est l’information accessible publiquement : registres, déclarations légales, presse, données publiées, web ouvert. Une pratique parfaitement licite, bien établie, et le socle de toute analyse ordinaire de la concurrence ou de la chaîne d’approvisionnement.

Le GEOINT est géospatial : imagerie, positions, déplacements. Les données satellitaires et cartographiques commerciales se vendent librement, et s’en servir pour surveiller un port, un réseau routier ou sa propre flotte est tout à fait normal.

Le SIGINT, c’est le renseignement d’origine électromagnétique : l’interception de communications et d’émissions électroniques. Au sens propre, il s’agit de lire des transmissions qui appartiennent à quelqu’un d’autre. Une entreprise qui le ferait à l’égard d’un concurrent, d’un fournisseur ou de qui que ce soit commettrait une infraction pénale dans tous les pays européens, et aucun habillage commercial n’y change rien.

Le HUMINT, c’est le renseignement d’origine humaine : obtenir des informations par des personnes, y compris des sources qui ignorent à quoi elles contribuent. Dans le cadre d’un État, cette pratique a un cadre légal. Dans le cadre d’une entreprise, appliquée à des personnes extérieures à l’organisation, elle désigne des comportements qui vont du contraire à l’éthique au délit.

La version honnête pour l’entreprise

Deux de ces disciplines se transposent proprement, deux non, et l’utile est de dire précisément ce que deviennent les deux qui ne se transposent pas.

Vos propres signaux. Une entreprise peut lire tout ce que produisent ses propres systèmes, machines et transactions. C’est de la télémétrie, elle a une vraie valeur, et l’appeler SIGINT est une métaphore sur la méthode, pas une affirmation sur les capacités. Rien ne lit le trafic de qui que ce soit d’autre.

Vos propres équipes. Une entreprise peut demander à ses collaborateurs de consigner ce qu’ils ont observé : ce qu’un client a dit, ce qu’un concurrent fait sur le terrain, pourquoi un fournisseur a manqué une échéance. C’est du reporting interne structuré, l’une des sources les plus sous-exploitées dans la plupart des entreprises, et ce n’est en rien une collecte clandestine visant qui que ce soit.

Ces deux substitutions constituent toute la distinction, et ce sont elles qui permettent de construire un tel outil.

Ce qui ne doit pas se produire

Mieux vaut l’énoncer sous forme d’interdits que de valeurs : les valeurs relèvent de l’aspiration, les interdits se vérifient.

Aucune interception de communications, de réseaux ou de systèmes appartenant à autrui. Aucune collecte clandestine visant des individus. Aucun dossier sur des personnes nommément désignées. Aucune extraction de données personnelles au-delà de ce que permettent les conditions de la source et le droit de la protection des données. Aucune déduction de caractéristiques protégées. Et aucune surveillance des propres salariés de l’entreprise déguisée en renseignement : c’est la version la plus susceptible d’être construite par accident.

Pourquoi cette limite mérite de figurer sur une page d’accueil

Parce que l’autre option, c’est de la découvrir pendant un appel d’offres ou, pire, pendant une enquête. Un acheteur dont le service juridique lit « SIGINT » sur une page produit demandera ce que cela signifie, et il n’existe que deux réponses possibles : une métaphore, ou quelque chose qui met fin à la discussion.

Dire d’emblée laquelle coûte un peu de dramaturgie marketing et rapporte la seule chose qui compte dans cette catégorie : pouvoir expliquer, précisément, ce que le système collecte et ce qu’il ne collecte pas, avant que quiconque ait à le demander.