La cybersécurité moderne traite d’un adversaire structuré. Pas d’aléa, pas de hasard, pas d’incident isolé : des acteurs cybercriminels organisés en chaînes de valeur économiques, des groupes APT étatiques avec leurs doctrines de ciblage, des hacktivistes coordonnés sur des plateformes publiques. Cette réalité d’un adversaire structuré devrait imposer à la fonction cybersécurité d’emprunter ses méthodes à la discipline qui traite ce type d’adversaire depuis cinquante ans : le renseignement.
Or, dans la pratique courante, la cybersécurité française emprunte rarement à la doctrine du renseignement. Elle reprend parfois son vocabulaire, « Cyber Threat Intelligence » sur les plaquettes commerciales, sans en respecter la structure méthodologique. Cette absence d’articulation doctrinale produit une production cyber qui ressemble plus à de la veille technologique qu’à du véritable renseignement. C’est dommage, parce que le cadre canonique du renseignement, codifié dans la doctrine AJP-2.0 de l’OTAN et pratiqué par les services français (DGSE, DRM, DRSD, DGSI), apporte une rigueur méthodologique directement transposable.
Le cycle canonique en cinq phases
Le cycle du renseignement classique se structure en cinq phases articulées. Direction, Recherche, Traitement, Diffusion, Feedback. Chaque phase a son objet propre, ses livrables, ses points de vigilance, et l’enchaînement des phases produit le cycle vivant qui caractérise une démarche de renseignement par opposition à une simple collecte d’information.
Phase Direction — l’expression structurée du besoin
Le renseignement ne se justifie pas par lui-même : il sert une décision. La phase Direction consiste à exprimer le besoin de renseignement de manière structurée : quelles questions méritent d’être posées, quels arbitrages devront être éclairés, dans quel horizon, avec quel niveau de confiance attendu.
Appliquée à la cybersécurité d’organisation, cette phase mobilise la direction générale et le RSSI dans un dialogue de cadrage. Quels sont les actifs critiques de l’organisation ? Quels sont les scénarios redoutés qui justifieraient un effort de protection particulier ? Quels arbitrages budgétaires devront être pris dans l’année ? Sur la base de ces questions, la cybersécurité produit un cahier des charges du renseignement à conduire.
Sans cette phase Direction explicite, la fonction cybersécurité tend à produire de la veille tous azimuts sans priorité, ce qui produit de l’inflation documentaire sans valeur de décision.
Phase Recherche — la collecte qualifiée
La phase Recherche consiste à mobiliser des sources d’information pertinentes pour répondre aux questions posées en phase Direction. Le point critique : toute source doit être qualifiée par son niveau de fiabilité avant d’être exploitée.
La doctrine OTAN emploie le scoring Admiralty, qui croise deux dimensions : la fiabilité de la source (A à F, de la source vérifiée à la source inconnue) et la crédibilité de l’information (1 à 6, de l’information confirmée à l’information vraisemblablement fausse). Une information ne s’agrège pas à une autre sans intégration de leurs scores Admiralty respectifs.
Appliquée à la cybersécurité, cette qualification permet de hiérarchiser les sources publiques disponibles. Une revendication publique d’un groupe ransomware sur son site .onion ne vaut pas la même chose qu’un rapport d’incident sourcé par l’ANSSI. Une CVE inscrite à la liste KEV de la CISA ne vaut pas la même chose qu’une mention sur un forum spécialisé. La qualification permet d’éviter les analyses fondées sur des sources fragiles.
Phase Traitement — l’analyse et le recoupement
La matière brute collectée n’est pas du renseignement. Le renseignement émerge du travail d’analyse : identification de patterns, recoupement entre sources, mise en contexte, identification de campagnes au-delà des incidents isolés.
Pour la cybersécurité, cette phase mobilise plusieurs techniques. La détection de clusters d’attaques (identifier qu’un ensemble d’incidents apparemment indépendants relèvent en réalité d’une campagne coordonnée) est l’une des plus rentables. Le mapping vers la matrice MITRE ATT&CK permet de raisonner sur les techniques d’attaque indépendamment des outils précis utilisés. La quantification financière via Open FAIR transforme l’analyse qualitative en données chiffrées exploitables par la direction financière.
Cette phase Traitement est probablement la plus différenciante en cybersécurité. C’est elle qui distingue un fournisseur de Cyber Threat Intelligence du flux d’IOCs brut. C’est elle qui apporte la valeur ajoutée du renseignement par rapport à la simple veille.
Phase Diffusion — segmenter par destinataire
Le renseignement n’a de valeur que s’il atteint son destinataire dans une forme qu’il peut consommer. Cette évidence est ignorée dans la pratique cyber, où le même rapport mensuel est envoyé indifféremment à la direction générale, au RSSI, au directeur financier et à l’équipe technique. Aucun de ces destinataires ne consomme pleinement un rapport non calibré pour son rôle.
La doctrine du renseignement impose une segmentation des livrables par destinataire. Un dirigeant consomme une synthèse de deux pages, structurée autour des décisions à prendre, avec ordres de grandeur financiers. Un RSSI consomme un rapport opérationnel détaillé avec les indicateurs techniques. Un directeur financier consomme une fiche de quantification du risque avec sensibilité aux variables et impact sur les engagements assurance. Un auditeur consomme un dossier documentaire complet avec sources.
Cette segmentation suppose un effort de rédaction supplémentaire mais elle multiplie la valeur consommée du renseignement par chaque destinataire.
Phase Feedback — la boucle d’amélioration
La cinquième phase ferme le cycle. Le destinataire principal, typiquement la direction générale et le RSSI, valide la production, exprime ses besoins pour le cycle suivant, signale les insuffisances du cycle qui s’achève. Cette validation est ce qui rend la démarche vivante par opposition à un livrable mort.
En cybersécurité, cette phase Feedback peut prendre la forme d’une réunion mensuelle courte (30 à 60 minutes) entre dirigeant et RSSI, structurée autour de trois points : les findings significatifs du mois, les arbitrages à prendre dans le mois à venir, les ajustements de cadrage pour le cycle suivant. Cette routine, peu coûteuse en temps, est ce qui transforme la cybersécurité en outil de pilotage stratégique plutôt qu’en charge administrative subie.
Pourquoi cette doctrine est sous-utilisée en France
Trois raisons principales expliquent que cette doctrine soit aussi peu mobilisée par la communauté cyber française.
Première raison : la formation des cybersécuriciens. Les cursus français en cybersécurité (CNAM, écoles d’ingénieurs spécialisées, universités) traitent peu de la doctrine du renseignement. Les jeunes RSSI sortent formés à l’ISO 27001 et à EBIOS, pas à l’AJP-2.0 et au cycle du renseignement.
Deuxième raison : la frontière institutionnelle. Les services de renseignement français ne diffusent pas leur doctrine méthodologique en dehors de leurs propres effectifs. La transposition civile suppose un effort d’adaptation que peu d’acteurs commerciaux ont entrepris.
Troisième raison : l’anglo-saxonisation du discours. La référence dominante en CTI est anglo-saxonne, et notamment américaine (SANS, ENISA, MITRE). Or la doctrine américaine du renseignement, formalisée par le Joint Publication 2-0, diverge marginalement de la doctrine française et de la doctrine OTAN. Les analystes français formés exclusivement aux références anglo-saxonnes manquent une partie de la richesse doctrinale disponible dans leur propre tradition.
Pour les RSSI qui veulent structurer leur démarche
Trois recommandations opérationnelles pour structurer une démarche cybersécurité sur le modèle du cycle du renseignement.
Première recommandation : formaliser la phase Direction par une réunion annuelle de cadrage entre direction générale et RSSI. Cette réunion produit le cahier des charges du renseignement cyber pour l’année. Sans cette formalisation, la cybersécurité dérive en veille tous azimuts.
Deuxième recommandation : adopter le scoring Admiralty pour qualifier les sources mobilisées. Cette discipline est peu coûteuse et apporte une rigueur de raisonnement qui paie en cas d’audit ou de contentieux. Elle évite aussi de fonder des décisions stratégiques sur des sources fragiles.
Troisième recommandation : segmenter les livrables par destinataire. Au minimum trois formats : synthèse direction (2 pages mensuelles), rapport opérationnel (8-15 pages mensuelles), fiche financière (1 page mensuelle). Cette segmentation multiplie la valeur consommée par chaque destinataire.
En conclusion
Le cycle du renseignement n’est pas un emprunt cosmétique pour orner un discours marketing. C’est un cadre méthodologique éprouvé qui a fait ses preuves sur cinquante ans face à des adversaires structurés. Sa transposition à la cybersécurité d’organisation apporte de la rigueur, de la reproductibilité, et une articulation plus naturelle avec la direction générale qui pilote l’organisation.
Pour les RSSI qui veulent professionnaliser leur démarche en 2026, le passage d’une logique de veille à une logique de renseignement est probablement le saut qualitatif le plus structurant. Il ne suppose pas d’investissement technique important. Il suppose une discipline méthodologique que peu d’organisations s’imposent.
Sources : doctrine AJP-2.0 de l’OTAN (2016) sur le renseignement militaire ; doctrines publiques DGSE et DRM ; Sherman Kent, Strategic Intelligence for American World Policy (Princeton University Press, 1949) ; Joint Publication 2-0 (DoD US).
Consultez nos catalogues de formations et services.
Commentaires récents