Itinéraire du contre-renseignement

1. Apprenez les outils et méthodes du contre-renseignement. Consultez les sites Web recommandés à la fin de cet ouvrage, y compris celui du Service secret américain intitulé The Best Practices for Seizing Electronic Evidence. (1)

2. Consultez les fournisseurs ainsi que les chefs du renseignement des entreprises de pointe ayant démontré qu'elles se comportent de manière éthique et qui œuvrent dans des secteurs non reliés et non concurrents.

3. Définissez vos biens de valeur (physiques, intellectuels et virtuels). Revoyez les politiques touchant la divulgation des informations et la visibilité des biens. Veillez à ce que tous les biens de l'entreprise, y compris les informations de source ouverte, soient gérés selon vos dernières politiques.
Documentez systématiquement vos connaissances tacites et soumettez-les aux règles de protection de la propriété intellectuelle.

4. Identifiez les cibles du contre-renseignement, c'est-à-dire tous ceux qui pourraient avoir intérêt à obtenir un accès non autorisé à vos biens physiques et intellectuels ou à nuire à vos relations avec vos clients, vos alliés, vos employés ou d'autres communautés. Que savent-ils déjà de vous et comment l'ont-ils appris? Identifiez les buts actuels et plausibles de collecte de renseignement de ces cibles. Quelle est la valeur monétaire pour l'adversaire des renseignements tacites et explicites que vous possédez?

5. Cernez vos vulnérabilités structurelles, c'est-à-dire en quoi votre environnement (lieu, industrie, quartier) peut constituer un risque, aussi bien ciblé que collatéral.

6. Cernez vos vulnérabilités sur le plan des ressources humaines, c'est-à-dire les personnes à risque qui vous entourent, ainsi que leur motivation potentielle (cupidité, toxicomanie, endettement, antécédents, comportement étrange). Identifiez les points les plus faibles de votre chaîne de valeur et de vos relations avec vos clients. Soyez à l'affût d'agents de renseignement bien entraînés qui pourraient solliciter un emploi dans votre entreprise et (ou) se faire passer pour des clients légitimes, des fournisseurs ou des représentants des médias. Ces candidats ne présentent pas les caractéristiques des employés à risque. Ils déploieront beaucoup d'efforts pour se fondre au sein de la communauté, gagner la confiance de leur employeur officiel ou de ses contacts d'affaires et glaner des renseignements à la fois explicites et tacites. Les organisations qui sont les têtes de file de leur industrie peuvent être sans le savoir victimes de ces agents qui opèrent en secret pour la concurrence ou pour d'autres adversaires.

7. Tracez les chemins de risque de vos propres employés, ce qui peut comprendre le travail, la maison, l'avion, l'hôtel, etc. Sachez que la société Oracle a récupéré des renseignements précieux dans les poubelles des résidences privées d'employés de Microsoft. Voyagez ultraléger et conservez toujours vos documents et données précieux à portée de vue et de main.

8. Tenez et analysez un registre exhaustif des interactions entre votre organisation et tous les intervenants, y compris les visiteurs de vos sites Web. C'est de cette manière que Microsoft a réussi à reconstruire l'incubation des attaques de "déni de service" qui ont paralysé ses portails le 25 janvier 2001.

9. Utilisez des systèmes d'exploitation à sécurité renforcée, comme SE Linux, qui "contient un mécanisme forçant la séparation des informations en fonction de critères de confidentialité et d'intégrité. Cela permet de réagir aux menaces de manipulation et de contournement des mécanismes de sécurité de l'application et de confiner les dommages qui pourraient être causés par des applications détournées ou viciées."(2)

10. Prenez des contre-mesures pour détecter et prévenir la surveillance électronique ainsi que toute modification, destruction ou substitution non autorisée des composants de votre réseau et de vos informations. Notez que vos concurrents, agents étrangers et courtiers en renseignement peuvent trouver des moyens subtils de pénétrer dans vos locaux pour y installer en secret de puissants équipements de surveillance électronique, dans une salle de conférences ou même une salle de bains. Ils peuvent aussi obtenir en toute légalité de l'imagerie par satellite exacte avec une résolution de moins de 1 mètre pour observer vos installations, vos terrains de stationnement, vos quais de chargement et vos flottes de camions. Les images obtenues par le satellite commercial IKONOS et par les satellites russes DK se vendent aujourd'hui à des prix accessibles aux petites entreprises et aux coopératives agricoles.

11. Prenez des mesures vigoureuses pour prévenir toute manipulation de vos autres biens et secrets commerciaux (p. ex., de votre logiciel de renseignement compétitif, de vos données, listes, plans, outils, savoir-faire, systèmes, réseaux de télécommunications, sites Web, méthodes, technologie). Gardez en sécurité les gardiens ou porteurs de ces actifs face aux services de renseignement hostiles ou à d'autres agents posant des risques sur le plan de la sécurité (p. ex., individus, vers ou virus informatiques, chevaux de Troie, surveillance électronique, stéganographie (3)). Si certains de vos employés risquent de se voir demander des mots de passe sous la contrainte, donnez-leur "des mots de passe de remplacement qui déclenchent une alerte."(4)

12. Plantez et dispersez vos actifs reliés au savoir (p. ex., renseignements commerciaux, codes source, documents désuets, méthodologies de procédés) entre plusieurs lieux et équipes sécuritaires pour réduire le risque d'accès total, de contamination ou de perte. Cet exercice de dispersion doit répondre aux exigences légales d'une éventuelle ordonnance judiciaire obligeant les fautifs à "cesser et renoncer".

13. Envisagez des moyens de dissuasion et de pistage légaux et éthiques pour tromper, perturber, appréhender et réclamer des indemnités aux contrevenants. Faites en sorte qu'il soit particulièrement dispendieux à vos principaux concurrents de commettre une intrusion, de voler vos biens ou d'avoir des pratiques de collusion avec des gens de l'intérieur. Le système devrait fonctionner en secret pour intercepter les attaques dès le début de leur incubation. Idéalement, votre organisation devrait être capable d'extraire sans affidavit un engagement écrit de cesser et renoncer et de se faire payer rapidement des indemnités pour que l'affaire ne passe pas devant les tribunaux.(5) Comme disait François de la Rochefoucauld, "c'est une grande habileté que de savoir cacher son habileté."(6)

Si vous soupçonnez qu'il y a eu un accès non autorisé à vos données, à vos papiers jetés, à vos transmissions par télécopieur ou à votre système de courriel, plantez de vieux documents, télécopies ou courriels contenant des informations-pièges pour pouvoir dépister les intrus. C'est de cette manière qu'une banque suisse a découvert et entravé un système de transactions d'initiés. Les employés d'un bureau européen du Los Angeles Times ont fait la même chose quand leurs registres d'ordinateur ont révélé que l'on accédait à leur courriel pendant leur absence. Le coupable, un correspondant étranger de haut niveau, lisait les messages piégés envoyés par courriel à ses collègues de travail par un autre bureau. Ignorant le piège qui lui était tendu, il a posé les fausses questions que l'on attendait, ce qui a entraîné son renvoi.

14. Évitez d'exécuter des transactions et de faire des communications sensibles au moyen d'ordinateurs portables, de téléphones cellulaires et d'ordinateurs de poche, à moins qu'ils ne soient certifiés contre l'intrusion. Pour vous assurer que vos informations confidentielles restent totalement impénétrables par des parties non autorisées, utilisez des protocoles de cryptage fiables pour les transactions entre les systèmes d'entreposage de données, les caches et les cartes-mères, ainsi que pour vos communications par fil et sans fil. Envisagez des cartes adaptées au système de cryptage Fortezza pour assurer la sécurité de votre système de messagerie. (7)

15. Utilisez la planification de scénarios, la simulation et le remue-méninges pour vous faire l'avocat du diable, en scriptant une série d'actions potentielles de vos concurrents et d'acteurs hostiles, y compris d'ex-employés ou ex-partenaires vengeurs. Si les enjeux sont très élevés, il vaut souvent la peine de demander à des cadres à la retraite d'entreprises concurrentes ou à des stratèges de cellule de guerre, à des avocats chevronnés ou à des cinéastes de pister vos adversaires actuels et émergents. Dans notre cabinet de conseil, nous avons organisé des concours de rédaction de scripts entre les équipes de divers clients pour sonder l'esprit de leurs concurrents respectifs, directs et indirects. Dans les années 1980, Alcan tenait absolument à décrocher un marché de canettes en aluminium d'une valeur de 70 millions de dollars, en Ontario. Les cadres de la société ont insisté pour simuler non seulement la stratégie de leurs concurrents directs, comme Alcoa, Pechiney et Kaiser, mais aussi de concurrents indirects comme des producteurs de contenants en verre, en plastique et en acier (Stelco et Dofasco) et même "d'adversaires militants" comme Enquête Pollution. (8) Créé en 1999 grâce à une subvention de cinq ans de l'Armée américaine, l'Institute for Creative Technology (ICT) de la University of South California (USC) est le centre de recherche en simulation le plus avancé au monde, "intégrant des êtres humains virtuels dans des rôles clés comme personnages pour jouer les rôles de forces amies et ennemies".(9) Dans le sillage des attentats du 11 septembre, "des spécialistes gouvernementaux du renseignement ont sollicité en secret des scénarios de terrorisme auprès de cinéastes et d'écrivains de renom à Hollywood."(10)

16. Apprenez à vos employés et à vos alliés proches à cultiver un système social totalement décidé à bâtir et à préserver votre capital de savoir. Prévenez tout le monde des mesures extrêmes que peuvent prendre des firmes non éthiques pour faire de l'espionnage industriel, comme placer de fausses annonces d'emploi pour extraire des renseignements compétitifs de candidats innocents.

17. Tenez à jour vos plans d'urgence et de rétablissement en cas de catastrophe.

18. Protégez-vous contre les risques résiduels.

19. Veillez à ce que votre PDG insiste souvent sur les liens cruciaux qui existent entre l'excellence, la sécurité du renseignement et le contre-renseignement. Même le Département de l'énergie, où la sécurité est primordiale, "a correctement mis l'accent sur l'excellence de la qualité de son travail scientifique et technique mais n'a commencé que récemment à mettre l'accent sur la sécurité, et ne souligne que depuis quelques mois l'importance du contre-renseignement."(11)

20. Comprenez que le contre-renseignement est un investissement de valeur méritant une amélioration continue. Effectuez à intervalles réguliers des vérifications et des analyses de vulnérabilité pour garantir le respect des lignes directrices ci-dessus.(12) Rétrécissez la portée et le portefeuille des affectations en élaguant continuellement pour vous concentrer sur vos objectifs à gain élevé. Comparez toujours le coût du contre-renseignement au coût potentiel des dommages que vous essayez d'éviter.

Important

A detailed coverage of intelligence, counterintelligence, strategy, risk, F-Scale and strategic negotiations is the subject of the management seminar:

Strategy, Risk, Negotiation & Leadership.
For seminar objectives, outline and upcoming sessions in the US and Canada, contact www.executive.org.