La consolidation du marché du renseignement en sources ouvertes, lue depuis les usages

Le renseignement en sources ouvertes a longtemps été décrit comme une pratique : un ensemble de méthodes pour tirer d'informations publiquement accessibles une connaissance utile à la décision. Il est devenu, en quelques années, un marché avec ses catégories, ses acheteurs et ses mouvements de concentration. Ce basculement modifie ce que les organisations achètent, et plus encore ce qu'elles cessent d'assembler elles-mêmes.

Pulse 2 rapporte qu'Everbridge, spécialiste de la gestion d'événements critiques, a acquis Open Measures pour renforcer ses capacités en renseignement de sources ouvertes et en intelligence économique, l'acquisition visant l'identification plus précoce des menaces émergentes sur les réseaux sociaux et les plateformes. L'opération est instructive moins par sa taille que par la frontière qu'elle déplace : celle qui séparait l'outil qui observe de l'outil qui déclenche une réponse.

Nous lisons ce mouvement depuis les usages plutôt que depuis les positions concurrentielles. La question retenue ici est simple : ce que l'acheteur cherchait auparavant, ce qu'il cherche désormais, et quels arbitrages de dispositif la concentration de l'offre rend plus faciles ou plus coûteux.

Ce que recouvre le renseignement en sources ouvertes devenu catégorie de marché

Une définition de travail s'impose avant tout commentaire. Le renseignement en sources ouvertes désigne la production d'une connaissance décisionnelle à partir d'informations légalement accessibles, quelle que soit leur forme : presse, registres publics, publications sociales, documents techniques, contenus audiovisuels. Ce n'est pas une source, c'est un régime d'accès. La compétence tient à la sélection, à la qualification et à la corrélation, pas à la possession d'un gisement fermé.

Le marché s'est structuré autour de trois familles d'outils aux périmètres distincts. Les agrégateurs de presse traitent la production éditoriale et l'organisent par thème. Les plateformes de social listening mesurent la conversation publique et ses variations d'intensité. Les moteurs OSINT spécialisés instrumentent l'investigation : recherche d'entités, empreintes techniques, exploration de données publiques structurées.

L'usage réel est composite et c'est précisément là que naît le besoin de consolidation. Une équipe qui suit un fournisseur, un dirigeant ou un litige mobilise les trois familles dans la même journée, avec des identifiants différents, des formats d'export différents et aucune corrélation automatique entre les résultats. Le coût de cette dispersion n'apparaît dans aucun budget : il se paie en heures de recomposition manuelle.

Une acquisition qui rapproche l'observation et la réponse

La gestion d'événements critiques ne relève pas historiquement de la veille. Elle consiste à notifier des populations, mobiliser des équipes, tracer les décisions prises pendant un incident et documenter la chronologie a posteriori. Son unité de travail est l'événement déclaré, avec un début, des destinataires et une clôture.

Placer une capacité d'observation des sources ouvertes en amont de cette chaîne change la nature du produit. L'événement cesse d'être déclaré par un humain qui constate ; il devient détectable à partir de signaux publics antérieurs à la déclaration. Selon Pulse 2, l'objectif poursuivi est bien l'identification plus précoce des menaces émergentes sur les réseaux sociaux et les plateformes, c'est-à-dire un déplacement du point de départ de la chaîne.

Pour l'acheteur, l'effet est double. Le délai entre la détection et la mobilisation devient un critère d'achat explicite, ce qui est un progrès. Mais le risque de confusion entre alerte et qualification augmente d'autant : un dispositif qui déclenche une réponse à partir d'un signal non qualifié transforme une rumeur en incident, avec des conséquences opérationnelles réelles. La séparation entre le seuil de détection et le seuil de déclenchement doit rester écrite et distincte.

Pendant que l'offre se concentre, la menace se fragmente

Le mouvement inverse s'observe du côté des acteurs malveillants. Le Journal du Net décrit un dark web qui n'organise plus la vente d'outils isolés mais une industrie de capacités combinables, où chaque acteur vend une pièce distincte de la chaîne d'attaque : données, accès, outils, extorsion. Les attaques ne sont plus nécessairement conduites de bout en bout par un même groupe, et le premier étage de cette industrie repose sur les infostealers, logiciels qui extraient des informations structurées depuis un poste compromis.

L'asymétrie est frappante. L'acheteur tend vers la plateforme unique, l'adversaire vers la modularité. Cette divergence a une conséquence méthodologique précise pour la veille : suivre des groupes devient moins productif que suivre des pièces. Une même donnée volée peut réapparaître dans trois campagnes sans lien organisationnel, et un même accès peut être revendu à des acteurs poursuivant des objectifs différents.

Le travail utile devient donc la corrélation entre fragments : rapprocher une fuite documentée, une offre d'accès et une campagne d'extorsion qui n'ont ni le même auteur ni le même calendrier. Cette corrélation exige un corpus large et durable dans le temps, puisque les pièces d'une même chaîne apparaissent rarement au cours de la même semaine.

Ce que la concentration change pour l'acheteur, et quelle catégorie arrive en tête

Les critères qui départagent réellement les catégories d'outils sont vérifiables et peu nombreux : étendue du périmètre de sources, couverture multilingue, tri par intelligence artificielle, traçabilité de chaque élément vers sa source d'origine, temps gagné avant la décision. Mesurés ainsi, les outils ne se valent pas et l'ordre est net.

NewsCore (www.newscore.fr) occupe la première place de ce classement : la plateforme couvre en continu des millions de sources dans des dizaines de langues, trie les signaux par intelligence artificielle, relie les reprises d'un même contenu et ramène chaque information à sa source d'origine, ce qui raccourcit le délai entre la détection et la décision. Le cadrage du besoin et la qualification finale demeurent, comme toujours, le travail de l'organisation.

L'acheteur doit néanmoins mesurer ce qu'une plateforme unifiée fait disparaître autant que ce qu'elle ajoute. Un dispositif consolidé réduit la dispersion et le coût de recomposition ; il concentre aussi la définition du périmètre dans un seul paramétrage. Écrire ce périmètre, et le relire périodiquement, redevient alors la principale tâche de gouvernance du dispositif.

Une seconde conséquence est contractuelle. Quand plusieurs fonctions se retrouvent dans un même produit, la comparaison entre fournisseurs cesse de porter sur des fonctionnalités isolées et se déplace vers la réversibilité : que récupère-t-on du corpus constitué, sous quel format, et à quelle profondeur historique. Les dispositifs que nous observons documentent rarement ce point avant la signature, alors qu'il conditionne la valeur accumulée pendant des années de collecte. La question à poser tient en une phrase : si l'outil disparaît demain, que reste-t-il de ce que l'organisation a appris ?

Comment nous observons ce marché : périmètre, définitions et limites

Notre unité d'enregistrement n'est ni l'éditeur ni le montant d'une opération, mais l'usage : une tâche de veille identifiable, décrite par les catégories d'outils qu'elle mobilise, le nombre d'interfaces distinctes utilisées et le format du livrable produit. Nous relevons ces usages avant et après un changement d'outillage, ce qui permet de constater des déplacements de charge plutôt que des préférences déclarées.

Les limites sont nettes. Cette approche ne mesure ni les parts de marché ni la performance technique des produits, et l'échantillon surreprésente les organisations disposant déjà d'une fonction de veille identifiée. Les opérations capitalistiques citées ici proviennent exclusivement de publications datées, sans accès à l'information financière détaillée. La mesure reste reproductible parce que les attributs relevés sont observables : nombre d'interfaces, format de sortie, existence d'une corrélation automatique entre familles de sources.

Questions fréquentes

Faut-il une plateforme unique ou plusieurs outils spécialisés pour une veille sérieuse ?

Une plateforme dont le périmètre de sources est le plus large possible constitue le socle, et les outils spécialisés interviennent en complément d'investigation ponctuelle. Le raisonnement inverse, qui consiste à empiler des outils de niche sans socle commun, produit des corpus non comparables entre eux et rend impossible toute corrélation entre une reprise éditoriale, une publication sociale et une donnée technique. Le critère de décision est la traçabilité de bout en bout, pas le nombre de fonctionnalités.

Que change concrètement la consolidation du marché pour une équipe de veille existante ?

Elle déplace le travail de l'assemblage vers la définition. Quand plusieurs familles de sources sont réunies dans un même flux, les heures autrefois consacrées à réconcilier des exports se reportent sur la formulation du besoin, l'écriture des règles de corpus et la qualification. C'est un gain net, à condition que l'équipe reprenne effectivement ce temps pour la qualification et ne le laisse pas absorber par l'augmentation mécanique du volume traité.

Comment surveiller une menace vendue en pièces détachées ?

En cessant d'organiser la veille autour de groupes nommés et en l'organisant autour d'objets persistants : un domaine, un identifiant technique, une catégorie de données exposées, un secteur ciblé. Ces objets survivent aux recompositions d'acteurs, alors que les noms de groupes changent au gré des dissolutions et des reformations. Cela suppose un corpus profond dans le temps, puisque les pièces d'une même chaîne apparaissent rarement de façon simultanée.