Relier les signaux en ligne au risque événementiel physique

Voici un scénario qui se produit plus souvent que la plupart des équipes de sécurité ne veulent bien l'admettre. Un analyste signale une publication hostile visant nommément un dirigeant. La publication est consignée, un ticket est ouvert, et le dossier attend dans une file de traitement. Pendant ce temps, le GSOC suit une manifestation qui se forme à deux rues de l'hôtel du dirigeant ce soir-là. Personne ne fait le lien. Le dirigeant s'avance dans une foule où au moins une personne en colère a déjà annoncé en ligne sa présence.

Ce n'est pas une défaillance technologique. C'est une défaillance de méthode de travail. Et elle survient constamment lorsque la veille numérique et le suivi des événements physiques vivent dans des systèmes séparés, gérés par des équipes séparées qui se parlent à peine.

Le problème de la veille en silos

Les analystes du numérique voient l'intention. Ils voient ce qu'une personne dit, son degré de colère, si son discours s'aggrave. Ce qu'ils ne voient généralement pas, c'est où se trouve cette personne, ce qui se passe physiquement à proximité de la personne protégée, ou si le calendrier coïncide avec un élément de l'agenda.

Les équipes du GSOC ont le problème inverse. Elles voient ce qui se passe sur le terrain : itinéraires de manifestations, faits de délinquance, impacts météo sur les déplacements, événements de contrôle d'accès. Ce qui leur manque souvent, c'est le contexte : qui profère des menaces en ligne, tel compte est-il obnubilé par le dirigeant depuis des mois, ou la foule qui se forme près du lieu de l'événement compte-t-elle quelqu'un qui a exprimé haut et fort sa volonté de nuire.

Aucune de ces deux vues ne suffit à elle seule pour décider en confiance. L'analyste qui voit la publication ignore qu'elle survient à un moment critique. L'opérateur du GSOC qui voit la foule ignore qu'une personne en son sein monte en intensité en ligne depuis des semaines. L'écart entre ces deux images est précisément là où les incidents se produisent.

Les études du secteur montrent de façon constante que les acteurs de la menace se cantonnent rarement à un seul domaine. Les personnes qui signalent une intention en ligne réapparaissent régulièrement dans des environnements physiques. Les personnes au comportement menaçant en présentiel laissent presque toujours une trace numérique. Traiter ces réalités comme des problèmes distincts, gérés par des équipes distinctes avec des données distinctes, voilà comment les organisations finissent par réagir à des choses qu'elles auraient dû voir venir.

Ce qu'il faut réellement corréler

Le réflexe habituel consiste à jeter plus de données sur le problème. Plus de flux, plus d'alertes, plus de tableaux de bord. Ce n'est pas la solution. Davantage de données brutes sans structure ne fait qu'accélérer la lassitude face aux alertes.

Ce qu'il vous faut, c'est un cadre pour décider quelles combinaisons de signaux comptent, et à quel moment.

Quatre couches d'information doivent figurer dans la même vue au même moment :

• L'activité du sujet : que dit-on en ligne, qui le dit, et le discours s'aggrave-t-il ? Cela inclut les plateformes sociales, les applications de messagerie, les sources du dark web et tout compte qui s'est déjà focalisé sur la personne protégée ou sur l'organisation.
• Le contexte événementiel physique : que se passe-t-il en ce moment à proximité de la personne protégée ? Manifestations, rassemblements, faits de délinquance, météo extrême, perturbations d'infrastructures, grands rassemblements. Chacun de ces éléments modifie la situation opérationnelle.
• Le contexte de la personne protégée : où va-t-elle réellement ? Itinéraires, lieux d'événements, hôtels, restaurants, apparitions publiques, changements d'agenda. C'est la couche qui rend tout le reste pertinent ou non.
• Le comportement historique : ce sujet a-t-il déjà connu une escalade ? Des conditions similaires ont-elles précédé des incidents par le passé ? La reconnaissance de schémas est ici capitale, et constamment négligée.

L'objectif n'est pas de fusionner tout cela automatiquement. C'est de donner aux analystes suffisamment de recoupements pour poser la bonne question : ce signal en ligne devient-il plus préoccupant compte tenu de ce qui se passe physiquement à proximité ?

Le géorepérage change le rapport signal/bruit

L'un des outils les plus concrets pour relier veille numérique et veille physique est le renseignement géorepéré : définir des périmètres géographiques autour des lieux d'événements, des hôtels, des itinéraires de transport et des lieux habituels de la personne protégée, puis filtrer les signaux entrants selon qu'ils proviennent de ces zones ou y font référence.

Un flux généraliste de surveillance des réseaux sociaux pour une ville d'un million d'habitants génère un volume énorme de contenu, dont presque rien n'est pertinent, sur le plan opérationnel, pour ce qui se passe ce soir. Un flux géorepéré autour de l'hôtel et sur un rayon de deux rues autour du lieu de l'événement génère une infime fraction de ce volume, et une proportion bien plus élevée de ce qui remonte mérite réellement d'être lu.

Les publications de personnes physiquement présentes sur un point de rassemblement d'une manifestation peuvent arriver 15 à 30 minutes avant que l'activité n'atteigne les canaux de signalement officiels. Un contenu géolocalisé provenant d'une personne près de l'hôtel de la personne protégée, qui publie par ailleurs des contenus hostiles en ligne, constitue un signal d'une tout autre nature que chacun de ces éléments pris isolément.

Pour que cela fonctionne, une classification par IA doit s'intercaler entre le flux brut et l'analyste. Sans elle, même un flux géorepéré lors d'un grand événement génère plus de volume que des humains ne peuvent utilement examiner en temps réel. Une classification qui distingue les signaux de sécurité physique du bavardage événementiel général, des mises à jour sur la foule et des contenus locaux sans rapport rend le flux réellement exploitable.

Reconnaître la mobilisation avant qu'elle ne devienne proximité

La plupart des cadres d'évaluation de la menace se concentrent sur ce qu'une personne dit. La question plus difficile, et plus importante, est de savoir si elle passe à l'acte.

Les indicateurs de mobilisation sont le basculement que vous guettez. Un sujet qui passe de l'expression d'un grief à la mention d'un événement précis, d'une date précise ou d'un lieu précis a franchi une ligne significative. Quelqu'un qui pose des questions sur l'agenda de la personne protégée, réagit aux annonces d'apparitions publiques ou se coordonne avec d'autres comptes autour d'un grief commun est différent de quelqu'un qui se contente d'exprimer régulièrement sa colère.

Les signaux de déplacement comptent aussi. Un sujet établi dans une ville qui publie soudain qu'il se trouve dans la même agglomération qu'une prochaine apparition du dirigeant, sans autre raison évidente d'y être, mérite un examen plus attentif. C'est particulièrement vrai lorsque le calendrier coïncide avec un événement annoncé publiquement.

Le passage de l'intention à la proximité est le moment où le contact dans le monde réel devient possible. Le détecter exige de connaître à la fois le schéma comportemental en ligne et le contexte physique du lieu où se trouvera la personne protégée. Aucune des deux pièces ne suffit isolément.

Le problème de la décision de déplacement

C'est ici que la convergence prouve réellement sa valeur. Une équipe de protection s'apprête à faire traverser une ville à une personne protégée. Un itinéraire est prévu. Le GSOC a signalé une manifestation dans une rue. La veille numérique a relevé une hostilité accrue de comptes situés dans cette zone. La météo est dégagée. La manifestation semble pacifique jusqu'ici.

L'itinéraire est-il sûr ? Un itinéraire alternatif est-il préférable ? Faut-il décaler l'horaire ? La personne protégée a-t-elle besoin d'une couverture renforcée pour ce déplacement ?

Aucune de ces questions ne peut recevoir une réponse fiable à partir d'un seul flux de données. Il vous faut la localisation et la taille estimée de la manifestation, le ton et la trajectoire des échanges en ligne, l'agenda de la personne protégée et sa marge de flexibilité réelle, ainsi qu'une idée de la ressemblance de cette situation avec des précédents ayant, ou non, dégénéré.

Les équipes qui gèrent le renseignement numérique et le renseignement physique dans des systèmes séparés doivent reconstruire le contexte de zéro chaque fois qu'elles doivent répondre à cette question. L'un ouvre l'outil de veille des réseaux sociaux, un autre consulte le flux événementiel, un troisième appelle le GSOC. Le temps que le tableau soit assemblé, la fenêtre de décision s'est souvent refermée.

Les équipes qui gèrent les deux dans une plateforme unifiée passent du « signal intéressant » à « voici ce que cela implique pour le plan de déplacement de ce soir » sans cette étape de reconstruction. Ce n'est pas un simple gain d'efficacité. Dans les scénarios où le temps compte, c'est la différence entre une action protectrice et une réponse réactive.

Construire des indicateurs et alertes qui fonctionnent vraiment

Un domaine dans lequel les GSOC sous-investissent systématiquement : la construction d'un ensemble d'indicateurs et d'alertes définis, propres au profil de la personne protégée et à son environnement opérationnel. La plupart des organisations se contentent de seuils d'alerte génériques au lieu de bâtir des besoins en renseignement adaptés aux menaces réelles auxquelles elles font face.

Les besoins prioritaires en renseignement (PIR) sont un concept militaire qui se transpose bien au renseignement de protection en entreprise. Un PIR identifie ce que vous devez précisément savoir pour prendre une décision, plutôt que de tout surveiller largement en espérant que quelque chose de pertinent émerge. Pour la protection rapprochée de dirigeants, un PIR pourrait définir : quels comportements en ligne, combinés à quels indicateurs physiques, imposeraient un changement d'itinéraire ? Quelle combinaison de signaux déclenche l'envoi d'un agent de reconnaissance supplémentaire ? Qu'est-ce qui justifie d'alerter les forces de l'ordre ?

Lorsque ces seuils sont définis à l'avance et adossés à des flux de données capables de faire remonter les bons signaux, le processus de décision sous pression s'accélère de façon spectaculaire. Les analystes n'improvisent pas dans l'instant. Ils rapprochent ce qu'ils voient d'un cadre déjà validé collectivement.

À quoi ressemble concrètement l'intégration transdomaine

Lorsque renseignement numérique et renseignement physique convergent réellement, plusieurs choses deviennent possibles qui ne le sont pas autrement.

Les profils d'acteurs de la menace peuvent être enrichis en temps réel. Un sujet en ligne présent dans la file de veille depuis six mois devient soudain pertinent sur le plan opérationnel dès l'instant où sa position recoupe l'agenda d'une personne protégée. Sans intégration, ce lien est établi avec des heures de retard, ou pas du tout.

Les faux positifs diminuent, car le contexte les filtre. Une publication hostile qui paraît alarmante isolément prend un autre visage lorsque l'environnement physique autour de la personne protégée est calme et que le sujet ne montre aucun signe de mobilisation. Le contexte ne fait pas toujours monter le niveau d'alerte. Parfois, il le fait redescendre, ce qui est tout aussi précieux pour une équipe soucieuse d'éviter des perturbations inutiles de l'agenda d'une personne protégée.

L'analyse post-incident s'améliore. Lorsque tout se trouve dans un seul système, vous pouvez revenir en arrière, identifier quels signaux étaient présents avant un incident et comprendre à quoi ressemblait le schéma. C'est ainsi que l'on affine ses indicateurs et alertes au fil du temps, au lieu de reconduire indéfiniment la même veille générique.

Le vrai problème, c'est l'écart de méthode de travail

La technologie de la veille convergée numérique-physique existe. Des plateformes qui réunissent renseignement social, flux événementiels, données géorepérées et contexte de la personne protégée dans une vue unifiée sont disponibles et déployées dans les organisations qui prennent le sujet au sérieux.

Ce qui est plus difficile à corriger, c'est l'écart de méthode de travail. Les équipes de sécurité numérique et physique dépendent souvent de directions différentes, utilisent des outils différents et fonctionnent à des tempos différents. Analystes du renseignement et agents de protection ne partagent pas toujours un vocabulaire commun pour définir ce qui constitue une menace crédible. Les passages de relais entre équipes lors d'une situation qui évolue vite sont précisément là où le contexte se perd.

La convergence n'est pas seulement une décision technologique. C'est une décision opérationnelle. Elle exige de définir à l'avance quelle équipe pilote l'escalade transdomaine, quel est le circuit de notification lorsqu'un signal recouvre à la fois le numérique et le physique, et quelles actions chaque palier du cadre de réponse autorise.

Réglez la méthode de travail, et la technologie devient très puissante. Laissez-la en l'état, et même la meilleure plateforme se contentera de faire remonter des alertes sur lesquelles personne n'agit à temps.