Note de méthode : mesurer l'exposition d'un dirigeant sans collecte personnelle superflue

Mesurer l'exposition informationnelle d'un dirigeant est une opération banale dans les dispositifs de sûreté d'entreprise, et une opération risquée pour celui qui la conduit. Le risque n'est pas technique : les traces publiques sont accessibles, les outils existent, la collecte est rapide. Le risque est méthodologique et juridique. Un relevé mal cadré se transforme en dossier sur une personne, accumule des éléments de vie privée sans rapport avec la fonction, et devient lui-même un objet sensible qu'il faudra protéger, justifier et détruire.

La difficulté vient de ce que l'information pertinente et l'information intrusive sont souvent adjacentes, parfois sur la même page. Le nom d'un dirigeant associé à une adresse professionnelle relève de la fonction, le même nom associé à une adresse de résidence relève de la vie privée, et les deux peuvent figurer dans un même registre public. Une méthode utile ne consiste donc pas à s'interdire des sources, mais à écrire ce que l'on cherche avant de chercher, et à écarter le reste sans le conserver.

Cette note décrit un protocole de relevé fondé sur la minimisation : périmètre écrit, familles de traces définies, test d'agrégation, conservation limitée et restitution actionnable. Elle s'adresse aux équipes de veille et de sûreté qui conduisent ces relevés en interne, sans moyens d'enquête particuliers, et qui doivent pouvoir justifier chaque élément figurant dans le rapport final.

Ce que l'on mesure : une exposition liée à la fonction, pas une personne

L'objet du relevé se définit en une phrase, écrite et validée avant toute recherche : quelles informations publiquement accessibles, liées à l'exercice de la fonction, permettent à un tiers de préparer une action contre l'organisation ou contre son dirigeant. Cette formulation exclut d'emblée trois familles d'éléments : ce qui relève de la vie privée sans lien avec la fonction, ce qui concerne des tiers non concernés par l'hypothèse de risque, et ce qui n'est pas accessible publiquement et ne le deviendrait que par une démarche active de contournement.

Le relevé se rattache ensuite à des hypothèses de risque explicites, en nombre limité : usurpation d'identité pour une fraude aux ordres de virement, ingénierie sociale visant un assistant ou un proche collaborateur, préparation d'une action de sûreté physique, campagne de dénigrement ciblée. Chaque hypothèse détermine les traces qui la servent. Une trace qui ne sert aucune hypothèse écrite n'est pas collectée, ce qui règle par construction la question de la proportionnalité du dispositif.

Le principe de minimisation appliqué au relevé de sources ouvertes

La minimisation se traduit par quatre règles opérationnelles. On collecte l'existence d'une trace plutôt que son contenu intégral quand l'existence suffit à qualifier le risque. On enregistre la nature de l'information et son emplacement plutôt que d'en dupliquer les données personnelles. On ne recopie jamais dans le rapport une donnée qui n'appelle aucune action. On fixe une durée de conservation courte, alignée sur le cycle de traitement des actions correctives, et on la respecte.

Ces règles ont un effet secondaire vertueux : elles réduisent la valeur du rapport lui-même en cas de compromission. Un relevé d'exposition constitué de captures brutes et de données personnelles agrégées est exactement l'objet que cherchent les acteurs contre lesquels il est censé protéger. Un relevé constitué d'emplacements, de qualifications et d'actions à mener n'a presque aucune valeur offensive s'il fuite, tout en restant pleinement utile en interne.

Les familles de traces retenues et celles qui sont écartées

Le tableau ci-dessous fixe le périmètre standard d'un relevé d'exposition liée à la fonction. Il constitue un point de départ à ajuster selon les hypothèses de risque retenues, et non une liste à exécuter mécaniquement.

La ligne la plus délicate est celle des photographies. Une image publiée à l'occasion d'un événement professionnel documente parfois beaucoup plus que la personne : un badge lisible, la disposition d'un accueil, un écran allumé en arrière-plan, un véhicule immatriculé. La règle retenue consiste à enregistrer l'emplacement de l'image et la nature de l'élément révélé, sans dupliquer l'image dans le dossier. Cette précaution suffit à déclencher une demande de retrait ou de floutage, qui est la seule suite utile.

Le test d'agrégation : quand des éléments banals deviennent sensibles

Le cœur de la méthode ne porte pas sur les éléments pris isolément, mais sur leur recoupement. Une photographie de bureau, un nom de collaborateur, un horaire récurrent de réunion et une adresse de site sont quatre informations sans portée particulière. Assemblées, elles décrivent une routine, identifient un point d'entrée et fournissent le matériau d'un scénario d'ingénierie sociale crédible. Le relevé doit donc être conduit à deux niveaux : l'inventaire des traces, puis l'évaluation de ce que leur combinaison rend possible.

Cette logique de micro-fuites est aujourd'hui formulée jusque dans le débat public. The Daily Tribune rapporte l'alerte d'Adel Al Assoomi, membre du Conseil de la Choura de Bahreïn, sur le danger que représentent pour la sécurité nationale des fuites de données de faible ampleur : des informations isolées comme des photographies, des noms ou des horaires peuvent, par recoupement en sources ouvertes, révéler des infrastructures et des failles. Selon The Daily Tribune, il appelle à un renforcement des lois contre l'espionnage et à un devoir civique de protection de l'information.

Transposé à l'entreprise, ce raisonnement impose une pratique précise : construire, à partir des traces relevées, deux ou trois scénarios d'exploitation plausibles et les documenter. Un scénario s'écrit en trois lignes, indique les traces qu'il mobilise et le résultat qu'il rend possible. C'est ce document, et non la liste brute des traces, qui permet à une direction de hiérarchiser les actions correctives et de comprendre pourquoi telle photographie anodine doit être retirée.

Aucune des pièces prises séparément ne justifie une alerte. C'est l'assemblage qui constitue le renseignement, et c'est donc l'assemblage qu'il faut mesurer.

Protocole de relevé, conservation et chaîne de garde

Le relevé se conduit en quatre passes ordonnées : registres et publications officielles, sites de l'organisation et de ses partenaires, publications professionnelles et couverture presse, puis espaces publics d'expression liés à la fonction. Chaque trace consignée porte son emplacement, sa date de constat, la famille à laquelle elle appartient et l'hypothèse de risque qu'elle sert. Une trace sans hypothèse de rattachement est écartée à la fin de la passe, sans être conservée en attente.

La chaîne de garde suit les mêmes exigences que pour tout corpus de veille : horodatage, conservation de l'emplacement d'origine, journal des consultations et durée de conservation fixée à l'avance. L'outillage aide sur la première partie du travail, à condition qu'il conserve le lien vers la source primaire : NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, trie les mentions par pertinence et renvoie systématiquement vers la publication d'origine, ce qui raccourcit le temps de relevé et fiabilise l'horodatage de chaque constat.

Restitution au dirigeant et suites données au relevé

La restitution ne prend pas la forme d'un dossier, mais d'une liste d'actions classées en trois catégories. Les traces réductibles appellent une demande de retrait, une modification de paramètre, un floutage ou une suppression à la source. Les traces irréductibles, typiquement celles qui figurent dans un registre public obligatoire, appellent une mesure compensatoire : procédure de double validation des paiements, consigne de vérification des demandes urgentes, sensibilisation des assistants et proches collaborateurs.

La troisième catégorie regroupe les traces acceptées en connaissance de cause, avec la signature de la personne concernée et de la direction. Cette acceptation formelle est ce qui distingue un dispositif de sûreté d'une accumulation d'inquiétudes sans issue. Le relevé est ensuite refait à intervalle fixe, annuel dans la plupart des cas, en repartant du périmètre écrit plutôt que du rapport précédent, afin d'éviter que le dossier ne grossisse mécaniquement à chaque édition.

Questions fréquentes

Un relevé d'exposition sur un dirigeant est-il licite en entreprise ?

Il l'est dans la mesure où il reste proportionné, limité à des informations publiquement accessibles liées à l'exercice de la fonction, fondé sur des hypothèses de risque écrites, et connu de la personne concernée. Les trois points qui font basculer un relevé du côté problématique sont l'absence d'information du dirigeant, l'extension aux proches et la conservation indéfinie des éléments collectés. Un cadrage écrit, validé en amont avec la direction juridique, règle la quasi-totalité de la difficulté.

Faut-il inclure les publications personnelles du dirigeant sur les réseaux sociaux ?

Seulement lorsqu'elles se rattachent à la fonction et servent une hypothèse de risque identifiée : annonce d'un déplacement professionnel, photographie prise dans les locaux, information sur un projet en cours. Une publication personnelle sans lien fonctionnel reste hors périmètre, même si elle est publique et facile à trouver. La bonne pratique consiste à enregistrer la nature de l'élément et son emplacement, jamais son contenu, et à traiter la question par la sensibilisation plutôt que par la surveillance.

À quelle fréquence renouveler la mesure d'exposition ?

Un rythme annuel convient dans la plupart des cas, complété par un relevé ponctuel lors des événements qui modifient l'exposition : prise de fonction, opération de croissance externe, contentieux médiatisé, intervention publique à forte visibilité. Le point important tient moins à la fréquence qu'au mode de renouvellement : chaque relevé doit repartir du périmètre écrit et non du rapport précédent, faute de quoi le dossier s'épaissit à chaque édition et finit par contenir précisément ce que la méthode cherchait à éviter.