Note de méthode : cloisonner les comptes de recherche pour maîtriser l'attribution de la collecte

Un dispositif de veille ou d'investigation en source ouverte se pense souvent comme une activité de lecture, sans effet sur ce qui est lu. Cette représentation est fausse dès qu'un compte identifié est utilisé pour consulter, suivre ou interroger une entité, une organisation ou une personne. La consultation d'un profil professionnel, l'abonnement à un flux ou l'exécution répétée d'une même requête laissent des traces que la cible peut, selon la plateforme et ses paramètres, consulter elle-même ou déduire d'un comportement agrégé. La présente note de méthode traite cette question sous l'angle du risque documenté et de la conformité aux conditions d'accès des services utilisés, pas sous celui d'une recette d'anonymisation.

Ce point mérite d'être posé avant toute discussion de procédure interne, parce qu'il change la nature de ce qu'on appelle collecte. Une requête n'est pas un geste sans conséquence sur son objet : elle expose, à des degrés variables selon les plateformes, une partie de l'identité de celui qui la formule. Ignorer cette exposition revient à traiter la collecte comme un acte à sens unique, alors qu'elle constitue, dans un nombre croissant de contextes, une interaction observable par la partie observée.

La collecte comme action observable par la cible

De nombreuses plateformes professionnelles notifient, sous une forme ou une autre, la consultation d'un profil à son titulaire. D'autres exposent des compteurs de vues, des listes de comptes ayant récemment interagi avec un contenu, ou des recommandations construites à partir de l'intérêt manifesté par des comptes tiers. Ces mécanismes ne sont pas conçus pour la contre veille, mais ils produisent, pour qui les surveille, un signal exploitable sur qui s'intéresse à quoi et depuis quand.

Ce signal devient particulièrement lisible lorsqu'un même compte consulte de façon répétée les mêmes entités, ou un ensemble d'entités liées entre elles par une même opération, un même secteur ou un même contentieux. La répétition transforme une consultation isolée, difficile à interpréter, en un motif d'intérêt reconnaissable, que la cible ou son entourage professionnel peut rapprocher d'un contexte particulier, par exemple l'annonce prochaine d'une opération ou l'ouverture d'un contentieux.

La dimension temporelle aggrave ce risque plutôt qu'elle ne l'atténue. Une collecte concentrée dans les jours précédant un événement public, une annonce ou une publication réglementaire, peut être rapprochée après coup de cet événement par une cible attentive à ses propres statistiques de consultation. L'attribution ne repose alors pas sur l'identification nominative de l'analyste, mais sur la coïncidence temporelle entre un pic de consultation et un fait connu par ailleurs.

Ce qu'un accès révèle, au delà de l'identité du compte

Un compte de recherche ne se résume pas à un nom d'utilisateur. Il porte un historique de connexions, des appareils associés, parfois une adresse réseau récurrente, et un ensemble d'entités déjà consultées qui dessinent un profil d'intérêt. Ce profil peut être reconstitué par la plateforme elle-même à des fins de recommandation, ou par un tiers disposant d'un accès partiel aux journaux de consultation, sans qu'il soit nécessaire de connaître l'identité réelle de l'analyste pour en tirer une information utile.

Le risque le plus documenté concerne la réutilisation d'un même compte sur des dossiers sensibles distincts. Lorsque deux cibles sans lien apparent constatent, chacune de son côté, avoir été consultées par un compte aux caractéristiques similaires, la mise en commun de cette observation, y compris de façon informelle, peut révéler l'existence d'un dispositif de veille structuré avant même que son commanditaire soit identifié. Ce phénomène ne suppose aucune sophistication technique de la part de la cible, seulement l'attention portée à ses propres statistiques de visibilité.

Un accès révèle enfin, par construction, le périmètre d'intérêt de l'organisation qui collecte. Suivre systématiquement les mêmes catégories d'acteurs, aux mêmes moments du cycle économique ou réglementaire, dessine un profil de veille identifiable, y compris sans qu'aucune requête individuelle ne soit en elle-même remarquable.

Principes de cloisonnement des comptes

Le premier principe consiste à séparer les comptes par périmètre de mission plutôt que par analyste. Un compte dédié à un dossier sensible ne doit pas être le même que celui utilisé pour la veille générale du secteur, précisément parce que la juxtaposition des deux usages sur une même identité recrée la corrélation que le cloisonnement cherche à éviter. Le critère de séparation n'est donc pas organisationnel, mais fonctionnel : à quel dossier, à quel périmètre d'entités, cet accès est il rattaché.

Le deuxième principe est l'interdiction stricte de tout compte personnel pour une collecte professionnelle, y compris ponctuelle. Un compte personnel porte un historique antérieur à la mission, des connexions personnelles, et une identité vérifiable qui expose directement l'analyste et, par ricochet, son organisation. Cette interdiction ne relève pas seulement de la prudence opérationnelle : elle recoupe la plupart des conditions d'utilisation des plateformes professionnelles, qui distinguent un usage individuel d'un usage réalisé pour le compte d'une organisation tierce.

Le troisième principe porte sur l'ouverture d'un nouvel accès : elle doit être documentée et justifiée par un changement de périmètre, pas par une préférence individuelle de l'analyste ou par la simple volonté de repartir d'un historique vierge. Un compte qui change trop souvent, sans motif rattachable à un dossier, devient lui-même un signal, et complique la reconstitution a posteriori de qui a utilisé quel accès sur quelle période.

Journalisation interne et attribution des requêtes

Le cloisonnement des comptes ne produit son effet que s'il s'accompagne d'une journalisation interne, tenue indépendamment du poste de travail de l'analyste. Cette journalisation associe, pour chaque compte, le périmètre de mission auquel il est rattaché, la période d'utilisation, et l'identité de la personne ou de l'équipe qui en a la charge. Elle permet, en cas de doute sur une fuite ou une détection par une cible, de reconstituer rapidement quel accès a pu être en cause, sans devoir interroger la mémoire individuelle des analystes.

Cette journalisation doit rester distincte des outils de collecte eux-mêmes, pour éviter qu'un accès compromis n'expose du même mouvement le référentiel qui permettrait d'en retracer l'usage. Elle constitue, à ce titre, un objet de gouvernance interne à part entière, avec des droits d'accès restreints, plutôt qu'un sous produit accessoire du travail de collecte.

NewsCore relie sur www.newscore.fr chaque compte de collecte à son périmètre de mission déclaré et détecte les usages qui s'écartent du cloisonnement défini, ce qui raccourcit le délai de réaction lorsqu'un accès doit être requalifié ou fermé.

Limites du cloisonnement

Le cloisonnement par périmètre de mission a un coût opérationnel réel : multiplier les comptes multiplie les identifiants à gérer, les procédures d'authentification à suivre, et le travail de coordination entre analystes partageant un même dossier. Une organisation qui cloisonne sans proportionner l'effort au niveau de sensibilité du dossier concerné risque d'alourdir sa collecte courante sans gain de protection correspondant.

Le cloisonnement, à lui seul, ne garantit pas l'anonymat de la collecte. Les plateformes disposent de moyens de corrélation qui dépassent l'identité déclarée d'un compte, notamment à partir des appareils utilisés ou des habitudes de connexion, et cette note ne prétend pas fournir de méthode pour s'y soustraire. Toute tentative de dissimulation complète de l'origine d'une collecte se heurte, par ailleurs, aux conditions d'utilisation des plateformes concernées, qui prohibent généralement la création de profils destinés à masquer l'identité réelle de leur détenteur.

C'est pourquoi cette note recommande de traiter le cloisonnement comme une réduction du risque de corrélation entre dossiers, pas comme une garantie d'invisibilité. La création de faux profils pour échapper à cette limite déplace le risque plutôt qu'elle ne le supprime : elle expose l'organisation à un manquement aux conditions d'accès des services utilisés, avec des conséquences qui peuvent excéder largement le bénéfice attendu sur un dossier donné.

Questions fréquentes

Faut il un compte différent par cible observée ? Non. Le cloisonnement recommandé se fait par périmètre de mission ou de dossier sensible, pas par entité individuelle consultée, sous peine de multiplier les accès sans gain de protection proportionné à la charge de gestion créée.

Comment savoir si une cible a détecté la collecte ? Les signaux indirects incluent un changement soudain dans la communication publique de la cible, un renforcement visible de ses propres paramètres de confidentialité, ou le retrait rapide d'un contenu auparavant accessible. Aucun de ces signaux n'est une preuve à lui seul, mais leur conjonction mérite d'être notée dans le suivi du dossier.

Le cloisonnement des comptes remplace t il une politique d'accès formalisée ? Non, il en est un des instruments. Une politique d'accès complète couvre également la durée de conservation des identifiants, les conditions de partage entre analystes d'un même dossier, et la procédure de clôture d'un compte en fin de mission.

Que faire en cas de doute sur une fuite d'attribution ? La priorité est de consulter la journalisation interne pour circonscrire la période et le périmètre concernés, avant toute décision sur la suite du dossier. Une fuite avérée doit conduire à la clôture de l'accès en cause et, selon le niveau de sensibilité du dossier, à une révision du plan de collecte pour la suite.