De plus en plus on entend parler d’OSINT. Mais si c’est le plus souvent dans des organisations publiques, administrations ou services de renseignement, cette pratique a-t-elle sa place en entreprise ?
OSINT ?
L’OSINT (Open Sources INTelligence) ou encore renseignement de sources ouvertes rassemble les activités et méthodes de collecte et d'analyse de l'information disponible en sources ouvertes et donc accessible publiquement. Sa finalité est de répondre à des tâches spécifiques ou être support à la prise de décision.
Comme le renseignement, on comprend son utilité pour un état ou un gouvernement. De nombreux exemples d’OSINT sont en effet disponibles pour illustrer la lutte contre le terrorisme, les cybermenaces et autres activités illégales.
Cependant, il concerne aussi les entreprises de toutes tailles et de tous secteurs. D’ailleurs, ce marché est en pleine évolution ; il devrait peser près de 12 milliards d’US dollars en 2026, soit une évolution de plus de 17 % par rapport à 2020 (rapport MarketResearch Future).
Pour une société, on peut parler de renseignement d’affaires en sources ouvertes. Cette activité, qui se limite au cadre légal, doit, pour être efficace, s’inscrire dans une démarche d’intelligence économique, en se concentrant sur les informations utiles aux décideurs. L’intelligence économique rassemble en effet les activités de collecte, de traitement et de diffusion des informations dont ont besoin les différents niveaux de décision, en vue de leur exploitation.
Il est vrai que, dans de nombreux exemples ou lors des challenges OSINT qui se multiplient, l’utilité des informations collectées restent parfois à démontrer dans un cadre professionnel. Ils permettent toutefois d’apprendre des méthodes d’investigations efficaces, d’identifier des sources pertinentes et d’affuter sa démarche. Mais n’oublions pas de les resituer dans un cadre et une finalité professionnels. Il s’agit d’entrainements qui ne doivent pas être une fin en soi. Le consultant en OSINT est alors comme un joueur d’échec qui s’exerce aux ouvertures, aux échanges de pièces, au gambit pour pouvoir les placer plus tard dans une partie pour arriver au mat.
L’utilité de l’information comme finalité, la sensibilisation comme premier pas
La nécessité de rentabilité, omniprésente dans une organisation commerciale doit donc limiter le cadre de l’OSINT pour qu’il reste ajusté et efficace. Il ne s’agit pas de voyeurisme consistant à collecter des informations, certes amusantes mais dont l’utilité est faible voire nulle. L’OSINT dans l’entreprise doit se limiter aux informations utiles aux différents acteurs. Le processus d’intelligence économique qui l’accompagne peut permettre à chaque collaborateur de définir les informations dont il a besoin pour accomplir sa mission ou remplir sa fonction. Attention, ce n’est donc pas l’OSINT, pas plus qu’une veille, qui doit définir les informations utiles. Comme dans les armées, le renseignement collecte les informations dont ont besoin les forces pour accomplir leur mission. Et si l’OSINT collecte des informations inutiles c’est donc que son périmètre a été mal ou pas défini. Chaque collaborateur doit donc définir ses besoins en informations avant de les rechercher par les techniques d’OSINT ou de faire appel à une structure ad hoc, interne ou externe. Une connaissance de ces techniques, peut, nous allons le voir, l’aider dans cette définition des besoins. Il nous parait alors nécessaire dans un premier temps de former, ou à tout le moins sensibiliser, l’ensemble des collaborateurs sur les techniques, méthodes et outils d’OSINT.
Plus encore que l’information utile, l’OSINT peut se concentrer à la collecte d’informations exploitables, c’est-à-dire adaptées aux ressources de l’organisation ou aux capacités d’exploitation du collaborateur ou de son équipe. Un dispositif mal ajusté serait par exemple un processus qui collecte des informations inutiles, nous l’avons vu, mais aussi que l’organisation ne saurait exploiter ou encore trop d’information, rendant son usage impossible. Nous avons rencontré des organisations qui ont stoppé leurs investigations et veilles sectorielles car remontant des informations que les collaborateurs ne savaient pas exploiter, générant alors plus de frustration que d’actions.
Trier le bon grain de l’ivraie
Aujourd’hui internet rassemble la majeure partie des sources ouvertes et l’OSINT se concentre donc souvent à des investigations numériques. On trouve en effet en ligne et de façon publique, les principaux articles de médias, les publications gouvernementales et publiques, les contenus académiques, de la littérature grise, des données, rapports et analyses techniques, financiers et professionnels, des présentations commerciales, des annuaires divers et variés et encore des publications personnelles, avis, groupes de discussion et autres réseaux sociaux.
Chaque jour à travers le Monde, on estime que 2,5 exaoctets (milliards de gigaoctets) sont publiés en ligne. A titre de comparaison, un portable d’entrée de gamme vous propose une soixantaine de Go de stockage (dans les 500 Go pour les plus performants) et un ordinateur portable entre 250 et 500 Go.
Dans cette quantité phénoménale d’informations disponibles, repose peut-être celle qui intéresse le collaborateur, qui est utile à l’entreprise. A l’heure où l'infobésité menace, Internet peut alors représenter, pour ceux qui maitrisent les techniques et outils d'OSINT, une opportunité pour collecter les informations pertinentes. Mais il est nécessaire de pratiquer l’investigation en sources ouvertes avec méthode et rigueur, en suivant un process afin d’éviter le « butinage » fréquent sur Internet.
Montrer ce que l’on peut faire
Le consultant en OSINT peut aussi participer à la définition des informations utiles au décideur, en suggérant à ce dernier des informations qu’il est en mesure de rechercher. Il doit être force de proposition avec des exemples d’investigations types.
Si l’OSINT est encore peu développé dans les entreprises, c’est peut-être justement parce que les décideurs n’ont pas conscience des informations qu’il est possible de collecter sur une personne physique, sur une entreprise concurrente, sur un partenaire, sur un secteur, etc. Une équipe de consultants aguerris, formés aux méthodes et outils d’OSINT peut être proactive et construire un catalogue de prestations d’investigation qu’elle peut mener (sans garantie de résultat). Elle peut lister une carte des possibles dans laquelle le décideur va affiner sa commande. Pour plus d’efficacité, nous recommandons d’impliquer cette équipe dès la définition des missions pour qu’elle explique comment elle peut contribuer en apportant des informations de qualités, mais aussi ce qu’elle ne peut pas faire.
Dans ce cadre, l’OSINT, utilisé en bonne intelligence, permet de fournir à l’ensemble des collaborateurs, des renseignements à forte valeur ajoutée et utiles à l’entreprise pour développer ses projets et activités. En détectant les signaux faibles au moment opportun, il permet de demeurer proactif et de ne pas subir les conséquences d’un environnement en perpétuelles mutations.
François JEANNE-BEYLOT, Professeur associé à l'EGE, CEO Troover-InMediatic
Pour aller plus loin :