top of page
Rechercher

Audit de sûreté et exposition numérique : pourquoi croiser les données change tout

il y a 1 minute
7 min de lecture

Un audit de sûreté commence, presque toujours, par une visite de terrain : le périmètre, les accès, les vitrines, les caméras, les procédures. C'est une approche éprouvée, et elle reste indispensable. Mais elle part d'un postulat qui devient de moins en moins vrai : que les vulnérabilités d'un site ne sont visibles qu'à qui s'y rend physiquement.

Or une partie croissante de ce qu'un auditeur découvre sur le terrain — l'implantation exacte d'un bâtiment, l'organisation des accès, les habitudes du personnel, parfois même les recommandations d'un audit antérieur — existe déjà quelque part en ligne ou sur un support mal protégé, accessible en quelques recherches ou par un simple concours de circonstances. Un audit qui ne croise pas ses constats physiques avec cette exposition numérique ne mesure qu'une partie du risque réel.


Le point aveugle des audits qui s'arrêtent à la clôture

CARINEL a détaillé ailleurs la méthodologie d'un audit de sûreté et sécurité physique et la manière dont nos approches propriétaires RTA et SCM structurent l'analyse des interactions entre risques accidentels et menaces intentionnelles. Ce que ces méthodologies ajoutent aujourd'hui, c'est un axe que beaucoup d'audits traitent encore en marge : la cartographie de ce qui est déjà exposé publiquement sur l'organisation, ses sites et ses collaborateurs.

Nous avions déjà présenté l'apport de l'OSINT (Open Source Intelligence) à la sécurité physique dans un précédent article. Ici, l'angle est différent : il ne s'agit pas de décrire l'OSINT comme un outil de protection en soi, mais de montrer pourquoi et comment l'intégrer méthodiquement à un audit de sûreté — avec des exemples documentés de ce qui se passe quand ce croisement n'est pas fait.


Quatre catégories de données à croiser systématiquement

1. Les documents administratifs publics

En France, un permis de construire délivré est un document communicable : la Commission d'accès aux documents administratifs (CADA) confirme régulièrement que les plans intérieurs et extérieurs joints à une autorisation d'urbanisme sont accessibles au public. Pour un site sensible — établissement de santé, site industriel, bâtiment recevant du public — cela signifie que l'agencement des locaux, les issues et parfois les équipements techniques peuvent être consultés légalement, sans qu'aucune intrusion ne soit nécessaire. Un audit de sûreté qui ignore cette source traite le bâtiment comme s'il était confidentiel, alors qu'il ne l'est souvent pas.

2. Les traces numériques agrégées, individuellement anodines

En 2018, l'application de sport Strava a publié une carte de chaleur mondiale agrégeant les parcours de course et de vélo de ses utilisateurs. Des analystes ont rapidement remarqué que cette carte, construite à partir de données rendues publiques volontairement, dessinait avec précision le contour de bases militaires que plusieurs pays cherchaient à ne pas exposer, notamment en zones de conflit. Aucune de ces données, prise isolément, n'était sensible : un militaire qui partage son footing du matin ne pense pas révéler l'emplacement d'une base. C'est l'agrégation et le croisement qui ont produit l'information critique — exactement le mécanisme qu'un audit de sûreté doit chercher à reproduire, de manière défensive, avant qu'un acteur malveillant ne le fasse.

3. L'imagerie et la cartographie ouvertes

Le cas le plus documenté reste celui des attentats de Bombay en 2008. Les enquêteurs ont établi que les commanditaires avaient utilisé Google Earth pour étudier en détail la disposition des cibles — hôtels, gare, centre communautaire — et pour briefer les hommes de terrain sur les itinéraires d'accès, avant même leur arrivée sur place. L'imagerie satellite et les outils cartographiques grand public n'étaient qu'un des éléments de leur préparation, mais ils ont permis une reconnaissance à distance qu'aucune surveillance physique n'aurait détectée. Seize ans plus tard, cette même imagerie est plus précise, plus récente et plus facile d'accès.

4. Les documents produits par l'organisation elle-même — y compris ses propres constats de sûreté

C'est peut-être le point le plus important pour un cabinet de conseil en sûreté : un document décrivant les dispositifs de sécurité d'un site est lui-même une donnée critique, et sa simple existence crée un risque si sa diffusion n'est pas maîtrisée. L'exemple le plus documenté reste celui de l'aéroport de Londres-Heathrow : en octobre 2017, un particulier a trouvé sur un trottoir de Londres une clé USB non chiffrée et non protégée par mot de passe, contenant environ 2,5 Go de documents internes — 76 dossiers détaillant l'itinéraire de sécurité de la famille royale, les patrouilles de surveillance, l'emplacement des caméras et les accès aux zones restreintes. Ces documents ont fini entre les mains d'un journal avant d'être remis aux autorités. L'aéroport a indiqué avoir lancé une enquête interne et revu l'ensemble de ses dispositifs de sécurité à la suite de l'incident.

Aucune intrusion numérique n'était nécessaire pour accéder à ces informations : un support physique mal sécurisé a suffi. La leçon vaut pour tout document produit dans le cadre d'un audit de sûreté — schémas, plans, cotations de vulnérabilité, procédures : dès sa rédaction, il devient une cible à part entière, et sa circulation doit être tracée et restreinte avec la même rigueur que l'accès au site qu'il décrit.


Le facteur humain, dénominateur commun

Ces quatre catégories partagent un point commun : elles exploitent des informations rendues publiques ou mal protégées par des humains, rarement par malveillance mais par méconnaissance de leur portée une fois agrégées ou égarées. Le rapport 2025 de Verizon sur les violations de données (Data Breach Investigations Report), qui fait référence dans le secteur, situe l'implication d'un facteur humain — erreur, ingénierie sociale ou usage abusif d'identifiants — dans environ 60 % des violations analysées. La même logique s'observe côté grand public : selon les données Sécurité et société publiées par l'Insee, dans les deux tiers des cambriolages de logement, le domicile visité était inoccupé au moment des faits — une information que les auteurs obtiennent aujourd'hui aussi facilement par une story géolocalisée que par une surveillance physique du domicile.

Transposé à un dirigeant, un site sensible ou une installation stratégique, ce constat justifie qu'un audit de sûreté regarde au-delà du bâtiment : les habitudes de déplacement d'un cadre exposé, les publications professionnelles qui révèlent un planning, ou les offres d'emploi qui décrivent en détail les systèmes de contrôle d'accès en place sont autant de sources qui appartiennent au même continuum de risque que la porte mal verrouillée.


Intégrer le croisement à la méthodologie d'audit, pas le traiter en annexe

Concrètement, ce croisement se structure en quatre étapes, articulées à la méthodologie d'audit existante plutôt que juxtaposées à elle :

Cadrage du périmètre d'exposition. Avant la visite terrain, identifier ce qui doit être recherché : le site lui-même (permis de construire, marchés publics, images satellite), l'organisation (organigramme public, sous-traitants identifiables), et les personnes exposées (dirigeants, personnels à accès sensible).

Collecte ciblée et documentée. Chez CARINEL, cette collecte reste manuelle et encadrée : pas de scraping automatisé de comptes personnels, une traçabilité systématique des sources et des dates de consultation, et un périmètre limité à l'information professionnellement pertinente. Cette discipline n'est pas qu'éthique — elle conditionne la valeur probante des constats dans un rapport d'audit.

Corrélation avec les constats de terrain. C'est l'étape que la plupart des démarches OSINT génériques omettent : chaque élément d'exposition numérique est confronté à un constat physique. Un plan de bâtiment public prend un tout autre relief s'il révèle un accès non surveillé identifié par ailleurs sur site.

Priorisation et plan de réduction. Les constats croisés intègrent la cotation RTA au même titre que les autres vulnérabilités, avec des mesures correctives qui vont du retrait d'informations publiques évitables à la sécurisation de la diffusion des documents internes — audits compris.

Sur le plan institutionnel, cette logique n'a rien d'isolé : l'ANSSI propose déjà aux opérateurs réglementés, via le service SILENE, une cartographie de leur propre surface d'exposition sur Internet, et la directive européenne NIS2 prévoit que les CSIRT nationaux puissent, à la demande d'une entité, surveiller ses actifs exposés sur Internet pour anticiper les risques de chaîne d'approvisionnement. CARINEL n'intervient pas sur ce volet technique du système d'information — nous orientons nos clients vers des partenaires spécialisés comme Zero Trust lorsque la dimension cyber ou IT-OT l'exige — mais la philosophie est identique côté sûreté physique : on ne protège bien que ce dont on connaît précisément l'exposition.


Ce que ce croisement ne doit pas devenir

Un audit d'exposition numérique n'est pas une enquête sur les individus. Il se limite à l'information professionnellement pertinente pour la sûreté du site et de l'organisation, dans un cadre respectueux du RGPD, et exclut toute surveillance intrusive de la vie privée des collaborateurs. L'objectif n'est pas de tout savoir sur tout le monde, mais de savoir ce qu'un acteur malveillant pourrait raisonnablement découvrir en quelques recherches — puis de réduire cette surface avant qu'il ne le fasse.


Conclusion

L'incident de Heathrow illustre à lui seul l'enjeu : un support de quelques centimètres, non chiffré et sorti d'un cadre sécurisé, a suffi à exposer des dispositifs de sûreté que des années de travail avaient permis de construire. Croiser systématiquement les constats terrain avec l'exposition numérique d'une organisation — et sécuriser les documents d'audit eux-mêmes comme les données sensibles qu'ils sont — n'est plus une option pour les organisations qui protègent des sites, des personnes ou un patrimoine à forte valeur. C'est en train de devenir la définition même d'un audit complet.

CARINEL accompagne les organisations dans la réalisation d'audits de sûreté intégrant cette dimension d'exposition numérique, en complément des constats de terrain et dans le respect strict du cadre légal applicable à la collecte d'information.

📞 Échangez avec nos experts — 01 89 71 59 06 — info@carinel.com — www.carinel.com — Réservez un rendez-vous gratuit

Sources et références

Sources officielles :

Sources médias :

Note méthodologique : Cet article s'appuie exclusivement sur des sources officielles, des rapports institutionnels et des médias vérifiés, cités et datés. Il complète, sans le dupliquer, notre article dédié à l'OSINT en sécurité physique.

Commentaires

Les commentaires sur ce post ne sont plus acceptés. Contactez le propriétaire pour plus d'informations.
bottom of page