Qu'est ce que l'Open Source Intelligence (OSINT) ?

« Connais ton ennemi et connais-toi toi-même ; eussiez-vous cent guerres à soutenir, cent fois vous serez victorieux. » — Sun Tzu, L'Art de la guerre, Vͤ siècle av. J.-C.

La formule de Sun Tzu pose les deux dimensions de ce qu'est l'Open Source Intelligence, appelé communément OSINT : la dimension offensive — connaître l'ennemi — et la dimension défensive — se connaître soi-même.

Ce qu'est l'OSINT — et ce qu'il n'est pas

L'OSINT désigne la collecte, le traitement et l'analyse d'informations issues de sources accessibles à tous. Sites web, réseaux sociaux, bases de données publiques, images satellites, offres d'emploi, métadonnées de fichiers, registres du commerce, archives judiciaires, brevets, marchés publics…

« Ouvert » ne signifie pas « facile ». Cela signifie avant tout que la source n'est pas secrète. Mais entre une information accessible et une information trouvée, recoupée et vérifiée, il y a tout le travail de l'analyste.

Et surtout : l'OSINT n'est pas de l'espionnage. C'est une pratique légale qui s'assume. C'est précisément ce qui en fait à la fois sa force et sa limite — la frontière entre renseignement et ingérence tient moins au moyen qu'à l'intention. Il ne faut pas être candide là-dessus.

Dans le champ de l'intelligence économique — définie comme « maîtriser l'information pour mieux comprendre son environnement, anticiper et prévenir les risques, identifier les opportunités et agir, dans une logique de compétitivité internationale » (Claude Revel, ancienne Déléguée interministérielle à l'Intelligence économique, 2009) — l'OSINT constitue la première brique opérationnelle. Il en est le carburant.

Une discipline ancienne, un terrain nouveau

L'OSINT n'est pas une invention d'Internet. Les Alliés, pendant la Seconde Guerre mondiale, analysaient systématiquement journaux et émissions radio ennemis pour en extraire du renseignement opérationnel. Les Américains ont formalisé la démarche dès 1941 avec le Foreign Broadcast Monitoring Service.

Ce qui a changé avec le numérique, c'est l'échelle. Et avec elle, un paradoxe bien connu : à mesure que les données prolifèrent, la capacité à en tirer un renseignement utile devient elle-même un avantage concurrentiel. Celui qui détient l'information stratégique fixe les règles du jeu.

Les grandes familles de sources

L'OSINT puise dans des réservoirs très hétérogènes.

source: https://knowlesys.com

1. Les médias et publications professionnelles sont les premières sources à portée de main, et considérées par nature comme fiables, dès lors que leurs auteurs citent eux-mêmes leurs sources.

2. Internet et les réseaux sociaux sont un puits sans fond. Un post LinkedIn d'un ingénieur en défense qui décrit ses missions et les projets de son entreprise, une application sportive qui retrace les itinéraires d'un militaire en opération extérieure dévoilant la localisation de sa base, une photo publiée depuis un site sensible, un fil Telegram de groupe professionnel mal sécurisé : tout cela est du renseignement utilisable depuis n'importe où dans le monde.

3. Les bases de données gouvernementales et publiques — registres du commerce, données électorales, marchés publics, brevets — permettent de reconstituer des organigrammes entiers, des chaînes de valeur industrielle, et d'identifier des dépendances critiques qu'on ne soupçonnait pas.

4. Les offres d'emploi révèlent les projets en cours, les sous-traitants impliqués, les lacunes à combler. Pour un concurrent qui souhaite cartographier une chaîne d'approvisionnement ou cibler un recrutement de débauchage, elles constituent une source de premier ordre.

5. Les métadonnées, enfin. Un fichier Word, une photo ou un email contiennent des informations invisibles à l'œil nu — date de création, logiciel utilisé, parfois coordonnées GPS ou nom d'utilisateur. Ces données peuvent constituer des preuves décisives, ou trahir une position qu'on croyait couverte.

Voir, mais aussi ne pas se laisser voir

C'est la dimension la plus négligée de la discipline — et sans doute la plus importante pour les acteurs industriels.

Un adversaire n'a pas besoin d'infiltrer vos systèmes s'il peut reconstituer votre organisation, vos projets en cours et vos vulnérabilités depuis un moteur de recherche. C'est là qu'intervient la démarche inverse : l'OPSEC (Operations Security) — l'audit de sa propre empreinte numérique pour réduire ce qu'un adversaire pourrait en extraire.

Pour une PME de la BITD, l'hygiène informationnelle — savoir ce que ses offres d'emploi révèlent, ce que les posts LinkedIn de ses ingénieurs exposent, ce que ses appels d'offres publics laissent entrevoir sur sa chaîne de valeur — est une condition de survie stratégique. Pas un luxe réservé aux grands groupes.

La donnée est une arme. Traitez-la comme telle.

L'OSINT n'est pas réservé aux agences de renseignement ni aux hackers. Avant d'être une discipline, c'est d'abord un état d'esprit : s'interroger constamment sur l'origine et la portée d'une information. C'est, in fine, une discipline de compréhension du monde, accessible à quiconque accepte de lui consacrer méthode et rigueur.

Dans un environnement où la France est engagée dans une guerre économique larvée avec ses alliés autant qu'avec ses adversaires déclarés, s'approprier les outils et les méthodes de l'OSINT n'est plus un avantage concurrentiel. C'est une condition de survie stratégique.

Et si la première leçon de l'OSINT est d'apprendre à voir, sa leçon la plus importante est peut-être plus inconfortable : comprendre ce que les autres voient de vous. Et agir en conséquence.

Emmanuel Chiva, délégué général pour l'armement, l'a formulé sans détour : « La France est restée trop timorée en matière d'intelligence économique. Osons passer à l'offensive. Il faut oser passer du statut de proie consentante à celui de prédateur. » (Chiva, 2024). L'OSINT est l'un des outils de cette bascule.

Une pratique légale, mais pas sans limites

L’OSINT repose sur des sources ouvertes et librement accessibles. En principe, la collecte d’informations publiquement disponibles n’est donc pas interdite. Mais « légal » ne signifie pas « sans limites ». Deux frontières doivent être clairement posées.

1. La première est celle du droit des données personnelles. En France comme dans l'ensemble de l'Union européenne, le RGPD s'applique dès lors qu'une démarche de collecte porte sur des informations permettant d'identifier une personne physique — même si ces informations sont techniquement publiques. Agréger des données dispersées pour reconstituer un profil individuel peut ainsi constituer un traitement de données à caractère personnel soumis à obligations légales, voire engager la responsabilité de celui qui le réalise.

2. La seconde frontière est celle de l'usage Collecter une donnée est licite ; s’en servir pour nuire, harceler, exercer une pression illégitime ou commettre une infraction ne l’est pas. L’OSINT n’est pas une zone de non-droit sous prétexte que les sources sont ouvertes. La légalité de la méthode ne garantit pas la légalité de la finalité.