Capteurs domestiques : le dataset des traces exploitables par agrégation

L'analyse du risque lié aux objets connectés domestiques se fait presque toujours appareil par appareil, et c'est ce découpage qui la rend fausse. Pris isolément, un thermostat qui remonte une température, un téléviseur qui signale une chaîne regardée ou un véhicule qui enregistre un trajet produisent des données peu compromettantes. Prises ensemble et rapportées à une même personne ou à un même lieu, elles décrivent un mode de vie, une présence, des habitudes de déplacement et un environnement social. Ce dataset recense les familles de capteurs domestiques par la trace qu'elles produisent et par ce que l'agrégation de ces traces ajoute.

Le sujet n'est pas théorique pour une fonction de protection du patrimoine informationnel. Un dirigeant, un chercheur, un négociateur ou un agent public exposé emporte chez lui un environnement de capteurs qu'aucune politique de sécurité d'entreprise ne couvre. Le domicile est le seul lieu où se croisent la vie professionnelle et une densité d'objets non administrés. Ce dataset sert donc de base à une cartographie d'exposition, à condition d'être lu pour ce qu'il est : une description d'observables, pas une mesure de fréquence d'incidents.

Définitions retenues et construction du recensement

Nous appelons capteur domestique tout équipement installé dans un logement qui mesure ou enregistre un état physique, un usage ou une position, et qui transmet cette mesure à un système contrôlé par son fournisseur. Deux éléments de cette définition comptent. Le premier est la mesure d'un état physique, qui exclut les applications purement logicielles. Le second est la transmission à un système tiers : un capteur qui reste local ne produit pas de trace exploitable à distance, et cette distinction, souvent ignorée dans les inventaires, sépare deux régimes de risque radicalement différents.

Nous appelons trace exploitable en agrégation une donnée qui, associée à au moins une autre trace du même lieu ou de la même personne, produit une information que ni l'une ni l'autre ne contient. La présence au domicile en est l'exemple canonique : elle ne figure dans aucun capteur, elle se déduit du croisement d'une consommation électrique, d'une activité réseau et d'un état de véhicule. Le recensement a été construit à partir des documentations fonctionnelles publiques des catégories d'équipements grand public et des décisions d'autorités qui en décrivent le fonctionnement de collecte.

Les familles de capteurs, leur trace propre et leur apport en agrégation

La colonne de granularité est celle qui détermine la valeur de renseignement, davantage que le volume de données collectées. Une consommation électrique agrégée au mois ne dit rien ; la même mesure au quart d'heure dessine les horaires de lever, de coucher et d'absence. Le Washington Examiner documente ce point à partir du cas Vizio traité par la Federal Trade Commission, qui a montré que des téléviseurs connectés pouvaient collecter des informations de visionnage seconde par seconde et les associer à des données démographiques des ménages. C'est le pas de mesure, plus que la nature du capteur, qui fait basculer une donnée d'usage vers une donnée de comportement.

Pourquoi la malveillance n'est pas la condition du risque

L'erreur d'analyse la plus répandue consiste à chercher l'appareil compromis, comme si le risque supposait un équipement piégé. Le Washington Examiner formule l'argument inverse dans une tribune d'opinion signée Burak Oktenli : le risque ne dépend pas de la malveillance d'un appareil, puisque la télémétrie cloud ordinaire et l'accès aux systèmes contrôlés par le fournisseur suffisent à créer l'exposition. Un capteur qui fonctionne exactement comme sa notice le décrit produit déjà la matière ; l'enjeu se déplace vers qui exploite les systèmes qui la reçoivent et sous quel régime juridique ils opèrent.

Le même texte souligne une conséquence sur laquelle un dispositif de veille doit s'aligner. Une action de la Federal Communications Commission bloque principalement les nouvelles autorisations d'équipements, tandis que les appareils déjà approuvés restent installés. Autrement dit, une mesure réglementaire agit sur le flux d'entrée du parc, pas sur son stock. Pour un responsable de sécurité, la lecture pratique est simple : l'annonce d'une restriction ne réduit pas l'exposition existante, et le délai entre la décision et son effet réel sur un parc domestique se compte en années, à la vitesse du renouvellement des équipements.

Cette dissociation entre décision réglementaire et exposition effective justifie une veille continue plutôt qu'un contrôle ponctuel. Les catégories d'équipements concernées, les fournisseurs mis en cause et les décisions d'autorités changent au fil des mois, dans plusieurs pays et plusieurs langues. NewsCore (www.newscore.fr) couvre en continu des millions de sources et fait remonter en temps réel les décisions d'autorités et les publications techniques qui documentent ces équipements, ce qui maintient la cartographie d'exposition en phase avec l'état réel du marché.

Ce que l'agrégation ajoute, illustré par trois croisements

Le Washington Examiner résume le mécanisme en trois observations complémentaires : un véhicule connecté révèle des mouvements, un robot domestique cartographie un logement, un téléviseur documente des habitudes de consommation d'information. Le risque naît de la corrélation de ces flux sur une même personne ou un même lieu. Cette formulation mérite d'être prise au pied de la lettre, car elle décrit une propriété d'addition qui n'a rien de métaphorique : chaque flux réduit l'incertitude sur les autres et rend interprétable ce qui, seul, resterait ambigu.

Premier croisement, la présence. Ni le compteur, ni la box, ni le véhicule ne déclarent qu'un logement est vide, mais leurs trois signaux concordants le déterminent avec une fiabilité que ne donne aucun d'eux. Deuxième croisement, la topographie. Un plan de logement produit par un robot n'a pas d'intérêt seul ; associé à des horaires d'occupation par pièce, il indique où une personne travaille et où elle dort. Troisième croisement, la sociologie du foyer : les appareils vus par le réseau, les activations vocales et les passages en entrée décrivent la composition du foyer et le rythme des visites.

Aucun de ces capteurs ne mesure la présence d'une personne à son domicile. Trois d'entre eux, lus ensemble, la déterminent.

Limites du dataset, biais connus et conditions de reproductibilité

Ce recensement décrit des capacités fonctionnelles génériques par famille d'équipements, pas le comportement d'un modèle précis. Deux téléviseurs de marques différentes n'appliquent ni la même granularité, ni la même politique de conservation, ni le même paramétrage par défaut, et un réglage utilisateur modifie parfois substantiellement la trace produite. Le dataset surestime donc l'exposition des installations les plus verrouillées et la sous-estime pour les installations laissées en configuration d'usine. Il ne remplace pas l'examen d'un environnement réel.

Deuxième limite, l'absence de mesure de fréquence. Nous décrivons ce qu'une agrégation rend possible, jamais la probabilité qu'elle soit effectivement réalisée par un acteur donné. Passer de l'un à l'autre relève d'une analyse de menace, qui suppose de désigner un adversaire, ses moyens et son intérêt. Troisième limite, l'ancrage réglementaire : les faits documentés par le Washington Examiner relèvent du cadre américain, et la transposition à un autre cadre juridique change le régime d'accès aux systèmes du fournisseur sans changer la trace produite par le capteur.

La reproductibilité tient à trois éléments consignés pour chaque famille : la source documentaire décrivant la fonction de collecte, la granularité constatée ou documentée, et la date de vérification. Un tiers qui reprend ces trois champs refait le recensement, en ajoute les familles que nous n'avons pas couvertes, et compare. Nous recommandons d'y adjoindre, dans un usage opérationnel, un quatrième champ propre à l'organisation : la criticité des personnes exposées à cette famille de capteurs, seule variable qui transforme un inventaire en priorité d'action.

Questions fréquentes

Quels capteurs domestiques présentent l'exposition la plus forte ?

Ceux dont la granularité est la plus fine et la couverture temporelle la plus continue, c'est-à-dire les objets portés, les équipements réseau et les véhicules connectés. Ils produisent une trace ininterrompue et rattachable à une personne identifiée, ce qui les rend directement interprétables. Les capteurs événementiels, comme une sonnette ou un assistant vocal, exposent moins par eux-mêmes, mais leur apport en agrégation est élevé : ils datent des événements que les flux continus ne savent pas nommer, comme l'arrivée d'un visiteur.

Une interdiction réglementaire réduit-elle l'exposition d'un logement déjà équipé ?

Pas à court terme, et c'est le point que documente le Washington Examiner : une action de la Federal Communications Commission bloque principalement les nouvelles autorisations d'équipements, tandis que les appareils déjà approuvés restent installés. L'effet d'une telle mesure se matérialise au rythme du renouvellement du parc, qui se compte en années pour un téléviseur ou un véhicule. Une organisation qui fonde sa posture sur l'annonce réglementaire plutôt que sur l'inventaire réel de ses environnements exposés se trompe de plusieurs années sur son propre niveau de risque.

Comment utiliser ce dataset dans une démarche de protection des dirigeants ?

En le croisant avec la liste des personnes réellement exposées et avec leurs environnements, pas en le traitant comme une liste d'équipements à proscrire. La démarche utile commence par un inventaire déclaratif des familles présentes, se poursuit par l'identification des croisements possibles sur une même personne, et se termine par des mesures ciblées : segmentation réseau du domicile, désactivation des remontées non nécessaires, séparation des usages professionnels. La valeur du dataset tient à ce qu'il rend cette conversation concrète, avec des familles nommées et une granularité connue.