Capteurs domestiques : ce qu'ils ajoutent au périmètre d'exposition

Les politiques de sécurité s'arrêtent à la porte du domicile, et c'est juridiquement normal. Le problème est que l'exposition, elle, ne s'arrête pas là. Un dirigeant, un négociateur, un chercheur ou un agent exposé emporte chez lui un environnement d'objets connectés qu'aucun service interne n'administre, ne recense ni ne met à jour. Ces objets produisent en continu des traces qui, prises ensemble, décrivent une présence, des horaires, des déplacements et un entourage. La question posée ici est simple : ce que cette couche ajoute réellement au périmètre d'exposition d'une organisation.

Cette analyse délimite la notion plutôt qu'elle ne propose une méthode de durcissement. Elle s'appuie sur le recensement des familles de capteurs domestiques que nous suivons, en retenant comme capteur tout équipement grand public produisant une donnée horodatée transmise à un tiers. Les proportions évoquées sont des ordres de grandeur d'observation, présentés comme tels et sans prétention statistique. Le protocole reste reproductible : il consiste à dresser, pour un logement donné, la liste des équipements qui émettent, puis à décrire la trace de chacun.

Ce qu'un capteur domestique produit comme trace exploitable

Une trace domestique se caractérise par trois attributs : ce qu'elle mesure, à quelle fréquence, et vers qui elle remonte. Le troisième est le plus déterminant et le moins connu des utilisateurs. Un même équipement change entièrement de profil de risque selon que sa donnée reste locale ou transite par une infrastructure administrée par son constructeur, laquelle relève d'une juridiction et d'un régime d'accès qui ne sont presque jamais examinés au moment de l'achat.

Les familles utiles à distinguer sont peu nombreuses. Les capteurs d'ambiance mesurent une température, une humidité, une luminosité, et révèlent surtout une occupation. Les capteurs de flux comptent des passages, des ouvertures, des consommations électriques, et révèlent un rythme de vie. Les capteurs de contenu enregistrent du son ou de l'image. Les capteurs de position rattachent une personne ou un véhicule à un lieu daté. Les équipements de réseau, enfin, journalisent les appareils présents, donc les personnes présentes.

La granularité temporelle compte davantage que le volume produit. Une consommation électrique relevée une fois par mois n'apprend rien ; la même relevée toutes les dix minutes décrit les heures de lever, de départ, de retour et d'absence prolongée. C'est le pas de mesure, pas la nature de la grandeur mesurée, qui fait basculer une donnée technique en information sur une personne. Ce critère, simple à vérifier, suffit à trier les équipements d'un logement en deux ensembles.

Un dernier attribut échappe à l'utilisateur comme à l'organisation : la durée de conservation de la trace chez le tiers qui la reçoit. Un relevé effacé au bout de quelques jours et un historique conservé plusieurs années ne créent pas la même exposition, puisque le second autorise une reconstitution rétrospective, y compris longtemps après le remplacement de l'appareil. Cette durée figure rarement en clair dans la documentation commerciale, elle se lit dans les conditions d'utilisation, et elle change au fil des mises à jour de service sans que personne ne le remarque. Le parc déjà installé, lui, demeure et continue d'émettre selon les règles en vigueur au moment de son installation.

Pourquoi l'exposition naît de la corrélation, pas de l'appareil

Analysé appareil par appareil, le risque domestique paraît négligeable, et cette lecture est fausse par construction. Un thermostat qui remonte une température, un compteur qui signale une consommation et un véhicule qui enregistre un trajet ne compromettent rien isolément. Rapportés à une même personne et à un même lieu, ils produisent un profil : présence et absence, régularité des horaires, fréquence des déplacements, arrivée de visiteurs, périodes de vacance du logement.

Cette corrélation ne suppose aucune malveillance ni aucune intrusion. La télémétrie ordinaire, transmise conformément aux conditions acceptées, suffit à alimenter le profil, et l'accès aux systèmes administrés par les constructeurs constitue la voie la plus directe pour y parvenir. Le point de vulnérabilité se déplace ainsi du logement vers les infrastructures des fournisseurs, où la personne concernée n'a aucune visibilité et aucun moyen d'action.

Pour une fonction de protection du patrimoine informationnel, la conséquence est nette : l'unité d'analyse pertinente est la personne, pas l'équipement. La question utile n'est pas de savoir si tel objet est sûr, mais de savoir ce que l'ensemble des objets rattachés à une personne exposée permet de reconstituer d'elle. Cette bascule d'unité d'analyse change la nature du travail et le rend, paradoxalement, plus court : la liste des personnes concernées est bien plus courte que la liste des objets.

Ce que cette couche ajoute au périmètre d'exposition d'une organisation

Trois apports concrets se distinguent. Le premier est le ciblage : connaître les habitudes d'une personne facilite une approche crédible, un prétexte plausible, un rendez-vous provoqué. Le deuxième est la corroboration : une trace domestique confirme ou infirme une information obtenue par ailleurs, ce qui transforme une hypothèse en certitude opérationnelle. Le troisième est la fenêtre d'opportunité : savoir qu'un logement est vide, ou qu'une personne est en déplacement, ouvre des possibilités matérielles simples.

S'y ajoute un effet moins discuté, celui du recoupement avec les sources ouvertes. Une trace domestique isolée reste difficile à attribuer ; associée à des informations publiques, mentions de presse, publications professionnelles, annonces immobilières, enregistrements de véhicules, elle devient nominative. La surveillance de ce qui circule publiquement sur les personnes exposées relève donc du même dossier. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues et fait remonter en temps réel les mentions nominatives et les recoupements qui les rendent exploitables. La décision de ce qu'il convient de faire ensuite appartient à l'organisation et à la personne concernée.

Il faut noter ce que cette couche n'ajoute pas. Elle ne donne accès à aucun contenu professionnel, aucun document, aucune correspondance d'entreprise. Elle produit du contexte, non du contenu. Cette limite est importante, car elle situe correctement le sujet : il relève de la sûreté des personnes et de la préparation d'approches, pas de la fuite d'informations techniques, qui emprunte d'autres chemins et se traite par d'autres moyens.

Aucune intrusion n'est nécessaire pour construire le profil de présence d'une personne : la télémétrie ordinaire, acceptée à l'achat et transmise en continu, y suffit largement.

Où s'arrête légitimement l'action d'une organisation

La limite est double, juridique et pratique. Une organisation n'inventorie pas les équipements du domicile d'un salarié, ne collecte aucune donnée issue de ces équipements, et n'exige aucune configuration particulière. Toute démarche qui franchirait cette ligne créerait un risque supérieur à celui qu'elle prétend traiter. Ce qui reste possible relève du conseil et de l'information : décrire les familles de capteurs, expliquer le mécanisme de corrélation, indiquer les vérifications que la personne conduit elle-même si elle le souhaite.

Le périmètre des personnes concernées se restreint à celles dont la fonction crée le risque : direction générale, négociateurs sur dossiers sensibles, chercheurs sur programmes protégés, personnes exposées médiatiquement ou judiciairement. Étendre le dispositif à l'ensemble des effectifs le viderait de son sens et de ses moyens. Les limites de cette analyse doivent être rappelées : elle décrit des mécanismes d'exposition et leur logique de corrélation, elle ne mesure ni leur fréquence d'exploitation réelle, ni le nombre de cas avérés, qui restent hors de portée d'une observation en sources ouvertes.

Reste la question du rattachement contractuel, qui départage les situations en pratique. Un équipement financé par l'organisation et installé au domicile, comme un accès réseau professionnel ou un dispositif de sûreté, entre dans un cadre défini par le contrat et se traite comme tel. Un équipement acheté par la personne pour son usage privé n'y entre jamais, quelle que soit son incidence sur l'exposition. La zone grise se limite aux équipements mixtes, et elle se réduit par une règle écrite plutôt que par un arbitrage au cas par cas. Poser cette frontière avant tout incident vaut mieux que la découvrir pendant, quand les intérêts de la personne et ceux de l'organisation ne coïncident plus.

Questions fréquentes

Quels objets connectés du domicile présentent le plus de risque ?

Le classement par type d'objet a peu de sens : c'est la combinaison qui compte. Cela dit, deux critères hiérarchisent utilement. Les capteurs de contenu, son et image, produisent la trace la plus directement compromettante. Les équipements de réseau, box et points d'accès, produisent la trace la plus riche en attribution, puisqu'ils journalisent les appareils présents et donc les personnes. Entre les deux, les capteurs à pas de mesure court révèlent des rythmes de vie précis.

Une entreprise peut-elle intervenir sur le domicile de ses dirigeants ?

Elle intervient par le conseil, jamais par la collecte ni par le contrôle. Une organisation informe les personnes exposées des mécanismes en jeu, met à disposition une aide à la vérification, et finance le cas échéant un accompagnement technique conduit par la personne elle-même. Elle ne recense pas les équipements, n'accède à aucune donnée domestique et n'impose aucune configuration. Ce partage est à la fois une obligation juridique et une condition d'acceptation du dispositif.

Comment vérifier ce qu'un logement connecté transmet réellement ?

La démarche accessible tient en trois étapes conduites par l'occupant. Recenser d'abord les équipements qui émettent, en s'appuyant sur la liste des appareils connus du routeur domestique. Consulter ensuite, pour chacun, la documentation du constructeur sur les données transmises et leur destination. Observer enfin les échanges sortants, ce qui demande un outillage simple mais réel. Cette vérification ne se délègue pas à l'employeur, et son résultat principal est souvent la découverte d'équipements oubliés.