Sécurité informatique : hygiène de l'ANSSIsien

[Où l'on peut télécharger directement le guide d'hygiène informatique de l'ANSSI, sans subir au passage les élucubrations d'un vieux digital immigrant sur les méfaits de la mal-computance (copyright PF)]

Information

Dans le domaine de l'informatique, des systèmes d'information et de la (cyber)sécurité afférente, il y a les spécialistes, les geeks, les h4k3rz, les RSSI. 

Il y a aussi les utilisateurs du quotidien. Ceux qui n'agiraient dans le DOS de personne, qui pensent que bourne shell désigne la suite (sequel) d'une série de films à succès, où une  pompe à essence  perd la mémoire, que VAX est un marque d'aspirateurs. C'est-à-dire une grande majorité, qui est peut-être plus sujette, par quotité et par facilité, aux erreurs d'usage, aux pièges de sécurité (virus, phishing, spams, scams, malwares, hacking) qui fleurissent. 

Car l'informatique, comme les antibiotiques, ce n'est pas automatique, c'est une technologie trop récente pour qu'une société de primates, même sapiens sapiens, puisse l'assimiler en si peu de temps (lire à ce sujet le Singe  nu, de Desmond Morris, pour un regard d'éthologue sur l'humain, qui relativise notre éphémère pseudo-supériorité sur le genre animal, et également le Zoo humain). Et une technologie omniprésente, suffisamment invasive, avec des raisons (in)discutables de réactivité et de productivité, pour ne pas négliger de faire un effort considérable (au niveau personnel comme au niveau du groupe) visant à mieux en intégrer les codes et en partager les bonnes pratiques. Pour s'approprier un outil, qui je le crains, génère parfois une réelle déperdition d'efficacité, souvent invisible.

Contrairement à ce qu'on croit souvent, cela requiert une solide formation, et surtout une formation continue (même et surtout pour les jeunes générations, natifs numériques, ou digital natives, qui sont nés à l'ère de l'informatique, et dont la supposée "compétence innée" est largement un mythe, il s'agit plutôt d'immersion culturelle naturelle). Nous sommes tous, nous restons tous, des prénumériques (article de InternetActu, excellente revue des usages et prospectives autour des cultures numériques).

Du moins tant que le monde n'aura pas basculé dans Second Life (ou alors cela a déjà eu lieu et personne ne m'a prévenu, cf. Simulacron Three de Daniel Galouye, qui a donné deux versions filmées, "Passé virtuel (Thirteen floor)" de  Josef Rusnak et Le monde sur le fil (Welt am Draht) de Rainer Fassbinder).
.

[Arrive maintenant une anecdote historique, véridique et rébarbative de vieux migrant numérique ou digital immigrant] Je me rappelle avec émotion du premier fichier que j'ai téléchargé à l'automne 1993. Une intégrale des paroles et des accords d'Iron Maiden, au format texte ascii. Sur un serveur en Finlande (funet.fi) ; ce pays n'ayant pas l'héritage Minitelien d'autres vieux pays, leurs universités s'étaient fondues plus vite dans la révolution de l'Internet. Je ne me souviens plus exactement de la taille du fichier, un peu moins de 10 méga-octets. Suite aux interruptions, et surtout au débit de données sur serveur ftp de l'époque, il m'avait fallu deux nuits de suite pour récupérer le fichier (au final, une heure par méga-octet en moyenne). Une fois téléchargé, j'ai voulu le mettre sur une disquette (les rigides, dites trois-pouces-un-quart, 3"25), d'une capacité de 1,44 méga-octets. Et voila, un coup de zip, et un fichier de... 1.53 méga-octets. Trop volumineux pour une disquette. De là est née une vocation de recherche en compression de données, mais là n'est pas la question. 

Vingt ans plus tard, et quinze ans après l'explosion des formats de données comprimées (je date le démarrage grand public de 1998-1999), l'utilisateur de multimédia moyen se demande quand il pourra encoder en temps réel un Blu-Ray (format déjà mort, soit dit en passant) pour le lire sur son smartphone. Ah non, me dit-on dans la salle, "tu es has been mon vieux, problème résolu !" (l'usage du terme has been est d'ailleurs révélateur du has been).

La compression est de tous les flux, dans le .mp3, le jpeg, le .avi. Pourtant, les concepts qui sous-tendent la compression de fichiers sont en général mal connus. En quinze mots, la technologie a évolué très vite, mais pas la connaissance l'accompagnant. Et cette méconnaissance influe sur les risques informatiques, de la perte ou la corruption d'archives comprimées (le .zip qui ne s'ouvre plus) au virus malin caché dans la pièce jointe comprimée que l'innocent va double-cliquer (Infectable objects), en passant par les dangers pour les oreilles soumises au mp3,sans oublier le piratage (j'aime bien la construction "de ... à ..., en passant par ..., sans oublier ..." qui laisse croire qu'on a réfléchi au sujet). Bref, tout ceci semble assez anodin en terme de "sécurité".

Mais cela s'étend par exemple à la vidéo surveillance, sous deux formes. Il s'agit ici de témoignages du quotidien de représentants des forces de l'ordre (gendarmes, policiers), formés aux techniques de traitement d'image et travaillant dans des services de reconnaissance et d'identification de suspects.

1. les caméras de surveillance stockent en général les vidéos sous forme comprimée (ce qui permet ). Et posées par des professionnels peu compétents, avec des utilisateurs n'y comprenant goutte, les réglages sont parfois médiocres, avec un format de compression, un rafraichissement d'image ou une qualité si faible que la vidéo d'une effraction est parfois inexploitable. Donc juste au moment où la surveillance vidéo, à partir d'un matériel acheté en toute confiance, pourrait servir, plouf. 
2.  pire encore : sur des vidéos servant à identifier des véhicules (garages, parkings, péages), et notamment la plaque d'immatriculation, les chiffres minéralogiques peuvent sembler différents d'une image à l'autre avec que le véhicule s'avance. Difficile d'en obtenir une preuve probante devant un juge. Or ce n'est pas étonnant : quand on comprime une vidéo (je vais simplifier un peu), une image (sur 10, sur 20 par exemple) est codée comme une image jpeg standard (déjà, faut savoir ce que c'est), et les autres images sont composées : a) de ce qui n'a pas bougé par rapport à l'image jpeg à l'autre b) des patchworks de morceaux d'images des trucs qui ont bougé mais se ressemblent c) de trucs un peu aléatoires pour avoir un rendu plausible compensant les effects de mouvements. Si bien qu'en théorie, d'une image à l'autre, le chiffre 8 apparent à droite peut venir d'un chiffre 3 à gauche, pour peu que la voiture ait bougé.

Pendant que nos pauvres pandores (de Pandur, en Hongrie) et poulets (origine de pseudo policier) peinent à photoshoper un pixel un peu pâle, qui serait retoqué au tribunal (on n'est pas chez NCIS), la vidéo fait bien piètre figure de preuve. Dans les deux cas, une petite compréhension des principes de la compression, un peu plus généralisée aux poseurs de caméras et aux personnes en sentiment d'insécurité, permettrait de faciliter le travail de ceux qui doivent assurer cette sécurité ou retrouver des suspects.

Si je résume : la compression de données (son, image, vidéo) est devenue omniprésente en une quinzaine d'années, mais faute d'appropriation technique, peut créer des failles de sécurité ou informationnelles dans notre quotidien.

Si nous nous disions que nombre de nos gestes informatiques quotidiens (mettre une clé usb étrangère sur son ordinateur de travail, installer Google Desktop, laisser Java activé dans notre navigateur internet) sont des risques en puissance, et qu'y réfléchir un peu de temps en temps pourrait limiter les risques informatiques au quotidien ?

Et voila, on y arrive enfin : pour une bonne hygiène en sécurité informatique, l'ANSSI (Agence nationale de la sécurité des systèmes d'information, page wiki) a diffusé un guide d'hygiène informatique professionnelle, avec au programme treize chapitres et quarante règles. 

1. Connaître le système d’information et ses utilisateurs
1. disposer d’une cartographie précise de l’installation informatique et la maintenir à jour
2. disposer d’un inventaire exhaustif des comptes privilégiés et le maintenir à jour
3. rédiger et appliquer des procédures d’arrivée et de départ des utilisateurs (personnel, stagiaires...)
2. Maitriser le réseau
1. limiter le nombre d’accès internet de l’entreprise au strict nécessaire
2. interdire la connexion d’équipements personnels au système d’information de l’organisme
3. Mettre à niveau les logiciels
1. connaître les modalités de mises à jour de l’ensemble des composants logiciels utilisés et se tenir informé des vulnérabilités de ces composants et des mises à jour nécessaires
2. définir une politique de mise à jour et l’appliquer strictement
4. Authentifier l’utilisateur
1. identifier nommément chaque personne ayant accès au système
2. définir des règles de choix et de dimensionnement des mots de passe
3. mettre en place des moyens techniques permettant de faire respecter les règles relatives à l’authentification
4. ne pas conserver les mots de passe en clair dans des fichiers sur les systèmes informatiques
5. renouveler systématiquement les éléments d’authentification par défaut (mots de passe, certificats) sur les équipements (commutateurs réseau, routeurs, serveurs, imprimantes)
6. privilégier lorsque c’est possible une authentification forte par carte à puce
5. Sécuriser les équipements terminaux
1. mettre en place un niveau de sécurité homogène sur l’ensemble du parc informatique
2. interdire techniquement la connexion des supports amovibles sauf si cela est strictement nécessaire ; désactiver l’exécution des autoruns depuis de tels supports
3. utiliser un outil de gestion de parc informatique permettant de déployer des politiques de sécurité et les mises à jour sur les équipements
4. gérer les terminaux nomades selon une politique de sécurité au moins aussi stricte que celle des postes fixes
5. interdire dans tous les cas où cela est possible les connexions à distance sur les postes clients
6. chiffrer les données sensibles, en particulier sur les postes nomades et les supports potentiellement perdables
6. Sécuriser l’intérieur du réseau
1. auditer ou faire auditer fréquemment la confi guration de l’annuaire central (Active Directory en environnement Windows ou annuaire LDAP par exemple)
2. mettre en place des réseaux cloisonnés. Pour les postes ou les serveurs contenant des informations importantes pour la vie de l’entreprise, créer un sous-réseau protégé par une passerelle d’interconnexion spécifique
3. éviter l’usage d’infrastructures sans fil (Wifi). Si l’usage de ces technologies ne peut être évité, cloisonner le réseau d’accès Wifi du reste du système d’information
4. tiliser systématiquement des applications et des protocoles sécurisés
7. Protéger le réseau interne de l’Internet
1. sécuriser les passerelles d’interconnexion avec internet
2. vérifier qu’aucun équipement du réseau ne comporte d’interface d’administration accessible depuis l’internet
8. Surveiller les systèmes
1. définir concrètement les objectifs de la supervision des systèmes et des réseaux
2. définir les modalités d’analyse des évènements journalisés
9. Sécuriser l’administration du réseau
1. interdire tout accès à Internet depuis les comptes d’administration
2. utiliser un réseau dédié à l’administration des équipements ou au moins un réseau logiquement séparé du réseau des utilisateurs
3. ne pas donner aux utilisateurs de privilèges d’administration. Ne faire aucune exception
4. n’autoriser l’accès à distance au réseau d’entreprise, y compris pour l’administration du réseau, que depuis des postes de l’entreprise qui mettent en oeuvre des mécanismes d’authentification forte et protégeant l’intégrité et la confidentialité des échanges à l’aide de moyens robustes
10. Contrôler l’accès aux locaux et la sécurité physique
1. utiliser impérativement des mécanismes robustes de contrôle d’accès aux locaux
2. protéger rigoureusement les clés permettant l’accès aux locaux et les codes d’alarme
3. ne pas laisser de prises d’accès au réseau interne accessibles dans les endroits ouverts au public
4. définir les règles d’utilisation des imprimantes et des photocopieuses
11. Organiser la réaction en cas d’incident
1. disposer d’un plan de reprise et de continuité d’activité informatique, même sommaire, tenu régulièrement à jour décrivant comment sauvegarder les données essentielles de l’entreprise
2. mettre en place une chaîne d’alerte et de réaction connue de tous les intervenants
3. ne jamais se contenter de traiter l’infection d’une machine sans tenter de savoir comment le code malveillant a pu s’installer sur la machine, s’il a pu se propager ailleurs dans le réseau et quelles informations ont été manipulées
12. Sensibiliser
1. sensibiliser les utilisateurs aux règles d’hygiène informatique élémentaires
13. Faire auditer la sécurit
1. faire réaliser des audits de sécurité périodiques (au minimum tous les ans). Chaque audit doit être associé à un plan d’action dont la mise en oeuvre est suivie au plus haut niveau

Certaines des règles sont de bon sens, certes, mais le bon sens, surtout en informatique, ça s'entretient, ça se cultive, ça se partage. Telle est, également, l'hygiène de ANSSIsien. Ce guide a donc été ajouté à la liste des documents et guides de l'intelligence économique. Et hop. Et pour le même prix, le guide de la cybersécurité des systèmes industriels, "pour accompagner tous les acteurs du monde industriel dans la prise en compte des enjeux liés à la cybersécurité. Il propose une méthodologie simple et adaptée, illustrée par des situations réelles" (cas pratiques).Pour un avis plus critique, Hacker's Republic publie le billet : L’ANSSI et l’hygiène informatique : un nouveau guide.

Documents

Jacques-François Marchandise, 2009, InternetActu, les Prénumériques

Desmond Morris, pour Le singe nu et Le zoo humain
Sophos: The A-Z of computer and data security threats (page)
ANSSI : guide d'hygiène informatique

• http://www.ssi.gouv.fr/IMG/pdf/guide_hygiene_informatique_anssi.pdf
• http://www.scribd.com/doc/122784168/Anssi-guide-d-hygiene-informatique-pdf

   
   

Compte-rendu : Intelligence économique et énergie (JAH 2011)

Information
Pour les nouveaux lecteurs et les lectrices récentes, un article est généralement formé de six parties :

• ce chapeau sur le thème ou la motivation du jour (Information) 

suivi en désordre :

• d'une citation, supposée digne de réflexion (Citation)
• d'un pointeur vers un site (Lien)
• d'un élément de calendrier (Agenda)
• d'un compte-rendu, d'une lettre de diffusion... (Document)
• d'un podcast ou vidcast (eMedia)

dont les intiales surlignent le nom et les onglets d'Information CLADe.

Dans JAH 2011 : intelligence économique au programme  et Intelligence économique et énergie était annoncé un atelier/table-ronde "Intelligence économique" aux Journées Annuelles des Hydrocarbures GEP-AFTP, le mercredi 12 octobre 2011, de 14h45 à 16h15. Son compte-rendu vient d'être publié dans le numéro 420, décembre 2011, de la Revue des Entreprises GEP AFTP. Le GEP (groupement des entreprises parapétrolières et paragazières) et l'AFTP (association des techniciens et professionnels du pétrole) fusionnant, leur site internet www.gep-aftp.com se trouve encore dans un état intermédiaire. La revue, diffusée aux membres professionnels du GEP, n'est pas accessible au public. Mais ayant rédigé le compte-rendu avec C. Jouclas, vous en trouverez reproduits ci-après de larges extraits édités.

Anecdotiquement, la page 89 traite du livre "Les nouvelles guerres économiques" de Christophe-Alexandre  Paillard, avec une préface d'Alain Juillet. On reste dans le ton de l'intelligence économique.

La section Agenda a été remise à jour. Nous nous focalisons sur deux conférences intimement liées à l'atelier IE, sur l'éthique et l'intelligence économique et sur la sureté à l'international d'un groupe mondial (Total en l'occurence.

La citation du jour est de Jean Cocteau, et le lien est celui de l'annonce du lancement référentiel de compétences pour former les étudiants à : "Intelligence économique et nouveaux risques du 21e siècle":

Mais commençons 2012 avec les voeux de saison. En cette année électorale, un petit rapel des voeux pour la France de Chrisitian Harbulot, dans l'émission : "si j'étais président", auquel je me joins pour vous souhiter une année 2012 pleine d'intelligence et soucieuse de vos économies !

eMedia
C'était le 22 juillet 2010. Christian Harbulot, directeur de l'Ecole de guerre économique, offrait un programme élyséen (voir détails) :






Si j'étais président Christian Harbulot 22... par enquete-debat
Agenda

Évènement : association des auditeurs en intelligence économique de l'IHEDN, colloque "Intelligence Économique et Éthique: quelle gouvernance face aux nouveaux défis ?", avec Centre Interdisciplinaire de Formation à la Fonction Personnel
Date : jeudi 12 janvier 2012 de 8h30 à 18h00
Lieu : France, Paris, École militaire, Amphithéâtre Foch
Information (programme) : http://asso-aie.org/wp-content/uploads/2011/12/AAIE-Colloque-Ethique-et-IE-12-01-2012-PARIS-ECOLE-MILITAIRE-Plaquette-colloque.pdf
Évènement : IHEDN "La sûreté à l'international dans un groupe mondial", avec Monsieur Jérôme FERRIER, directeur sûreté de groupe TOTAL
Date : lundi 30 janvier 2012 à 17h45-20h00 (2012/01/30)
Lieu : France, Auditorium Tour TOTAL
Information : http://ihedn-arparisidf.org/total-2012_01_30.pdf

Voir l'agenda IE pour plus de détails.

Citation 

Un artiste original ne peut pas copier. Il n’a donc qu’à copier pour être original.

[Jean Cocteau (1889-1963), poly-artiste français : poète, dessinateur, dramaturge, cinéaste. In Le Rappel à l’ordre, 1926.]


Lien

Former les étudiants "Intelligence économique et nouveaux risques du 21e siècle": lancement référentiel de compétences

Document
Atelier « veille scientifique – intelligence économique et énergie »
Journées Annuelles des Hydrocarbures  GEP-AFTP mercredi 12 octobre 2011
Thème 2011 : INNOVATION Défis technologiques et humains
Compte-rendu : Laurent Duval – Christine Jouclas, GEP-AFTP

Dans le cadre des Journées annuelles des hydrocarbures (JAH 2011, GEP-AFTP), dont le thème était « Innovation, défis technologiques et humains », l’atelier 7 organisé par C. Jouclas (IFP Energies nouvelles détachée au programme CITEPH au GEP-AFTP) était consacré à l’intelligence économique (IE), avec le titre : « veille scientifique – intelligence économique et énergie ».
Pour répondre à la question : « comment l’IE peut contribuer au maintien et à l’émergence d’une industrie parapétrolière compétitive et innovante, répondant aux attentes actuelles en matière d’énergie et d’emploi ? », quatre intervenants spécialistes ont apporté un éclairage très complémentaire puis échangé et répondu aux questions de la salle. Malgré la concurrence d’ateliers en parallèle (1), une centaine de participants étaient présents.

S’appuyant sur le schéma cartographique des métiers de l’IE (© AEGE 2009), C. Jouclas a rappelé  les différents services de l’entreprise où les métiers de l’IE peuvent être pratiqués : dans le domaine de la communication, du management de l’information et du patrimoine intellectuel de l’entreprise pour en tirer l’essentiel, en associant les couples suivants : collecter-comprendre,  partager-capitaliser, utiliser-influer, protéger-fructifier. L’IE est partie prenante de toutes les problématiques de l’entreprise : stratégie, finance, juridique et communication. Les conférenciers, qui en ont fait leur métier, contribuent à l’existence d’une industrie pétrolière et parapétrolière compétitive et innovante.

La table ronde est présidée par Philippe Caduc (président directeur général de l’ADIT, société nationale d’intelligence stratégique (2)), en remplacement du député du Tarn, Bernard Carayon, retenu aux journées parlementaires.  Son introduction sur le concept d’intelligence économique revient sur vingt années d’existence (en France) : produite initialement par les services de l’état, elle s’est développée aux frontières de l’état et des entreprises. Si l’IE a pu produire beaucoup de théories pas toujours lisibles, Philippe Caduc  la considère d’abord comme un mode opératoire, que l’on construit pour soi, et par rapport à celle de son écosystème. Il mentionne aux Etats-Unis la « doctrine Clinton », visant à sécuriser et porter le fer sur des secteurs stratégiques, et la situation de chaos technique que peuvent ressentir des entreprises face aux entreprises américaines.

la nationalité d’une entreprise économique [...] est la nationalité du système d’intelligence économique auquel l’entreprise s’adosse.
[Philippe Caduc]

Il aborde ensuite la question de la nationalité d’une entreprise économique : si l’on évoque parfois la nature du capital, la nationalité des managers ou la localisation des équipes de R&D, il considère que le critère essentiel (« qui ne ment jamais ») est la nationalité du système d’intelligence économique auquel l’entreprise s’adosse. C’est dans les situations critiques que se révèle  le concept de nation, qui n’a pas disparu à l’échelle des multinationales. La France est actuellement dotée d’une direction interministérielle à l’intelligence économique (D2IE) dirigé par Olivier Buquen. Quant à l’ADIT, elle emploie 200 analystes et possède 500 collaborateurs à l’étranger, avec une stratégie 100 % française. Il souligne enfin le besoin accru de protection des actifs matériels et immatériels, citant au passage l’actualité récente d’une banque française dont l’action a dévissé de 20 % en une journée dans une ambiance de rumeurs propagée via le web 2.0, et Twitter notamment.
Il présente rapidement les autres participants :

• Jean.-Pierre Vuillerme (directeur du pôle management des risques de l’ADIT) a mené toute sa carrière  et a développé  l’IE chez Michelin ; il interviendra sur le comment et le pourquoi investir dans un pays instable ;
• Hervé L’Huillier, « l’un des  rares cadres d’entreprise avec lequel il était possible de parler d’IE il y a 15 ans », à la direction IE de Total,  expliquera  la démarche d’intelligence économique telle qu’elle est pratiquée dans le groupe  TOTAL ;
• Yves Morel, manager de la gestion de talents à Schlumberger, sur une présentation de Kamel Bennaceur, Chief economist, donnera la voix des ressources humaines sur l’IE et le management.

Hervé L’Huillier, pour  évoquer la vision de Total de l’intelligence économique, s’appuie sur le secteur parapétrolier  très important en France, et  pour la France : une industrie mondialisée aux changements rapides, plusieurs milliards d’euros de chiffre d’affaires, faite de grands groupes  Schlumberger, CGGVeritas, Technip… et de plus petites structures. C’est un secteur déployé  sur 40 départements en France, un secteur exportateur, apportant des devises, et surtout un secteur de très haute technologie à défendre. Secteur également sujet à des changements rapides et féroces,  comportant de nombreux facteurs d’incertitude, de menaces, de disparités de concurrence (3).

Cette vision IE observe le terrain, dans une géographie mouvante : pour l’amont, les nouvelles zones d’avenir, le Canada, mais aussi l’Australie, l’Inde, l’Afrique de l’Est. China Securities annonce aujourd’hui une production de 80 BCM de gaz de schiste en 2020 en Chine : cela aura  un impact sur l’industrie du tube, indiquant une concurrence possible pour Vallourec, pour cette nouvelle parue le jour de la visite de V. Poutine en Chine. H. L’Huillier cite également l’actualité liée à Fukushima, les menaces et opportunités résultant sur l’industrie pétrolière, le printemps arabe, la situation politique au Venezuela, l’Algérie, le resserrement des liens avec certaines IOC (International Oil Companies, ex. Saipem/ENI), le développement accéléré de certaines zones, les EPC (Engineering, Procurement and Construction) coréennes dans le Middle East, une loi de monopole de l’operatorship de Petrobras dans le pré-sel (4).  Certains concurrents sont soutenus par des banques d’États et des fonds souverains, qui autorisent  un remboursement  partiel des crédits accordés, créant une distorsion de concurrence !  La notion de local content, induisant une sous-traitance obligatoire, sans que les compétences nécessaires soient disponibles, sans parler de la compliance…

À propos des compétences : l’évolution de la demande se heurte à l’offre de compétences.  Regardons ce qui se passe en Allemagne, pas spécifiquement dans notre secteur : aujourd’hui 400.000 emplois qualifiés sont vacants. Demain, en 2020, 1,2 millions d’emplois à haut degré technique ne seront pas remplis, ce qui impose un appel de compétences à l’étranger. On se dirige vers un étiage des compétences, impliquant des tarifs élevés, des packages de rétention des compétences, alors que les marges ne sont pas extraordinaires. Le groupe Allianz a lancé un workforce program (5) pour pallier le déficit annoncé en personnel qualifié. Ce qui se passe là peut donner des indications sur ce qui peut arriver dans notre secteur dans d’autres pays où nos activités se développent très vite.

Une équipe IE à été constituée au sein de Total. Elle ne traite pas des fonctions de sécurité et de protection, de veille, de lobbying, ni de promotion de l’innovation, d’autres directions ont été créées pour cela. C’est un think-tank, essentiellement  fait pour :

• comprendre l’environnement à long voire très long terme : quels besoins, quelles priorités quelles contraintes ? Ex. pour les gaz de schiste en Chine : il faut prévoir des tuyaux. Il faut revoir les schémas existants. Pour la voiture électrique : a priori, c’est vert donc c’est bon, mais aucun pays du monde n’est autosuffisant en électricité, donc ça ne marche pas si l’on vise principalement une alimentation sectorielle. Pour les batteries, le lithium est présent en Chine (notamment au Tibet) et en Bolivie : les conditions d’extraction et de prix peuvent beaucoup évoluer et bouleverser le business model d’aujourd’hui. La Corée est également un acteur qui veut devenir leader sur le marché des batteries ;
• détecter, anticiper les menaces et les opportunités ; mais aussi avoir une vision offensive, positive, comprendre les besoins ;
• appuyer les objectifs du groupe : dans les pays producteurs, il arrive souvent que le ministère du pétrole n’ait pas le pouvoir ; il faut alors savoir identifier les hommes-clefs : qui a le pouvoir ? que font les adversaires ? qui peut être allié ?
• préparer l’avenir en contribuant à la vision et la stratégie.

Trois sujets d’intérêt : le terrain, les acteurs, les pratiques. Concernant le premier sujet, comment se caractérise le terrain par rapport aux questions posées : on peut par exemple éclairer le Venezuela par la Chine. On peut éclairer le Moyen-Orient par la Corée : un million de Coréens sont au Kazakhstan depuis la guerre, ce pays pouvant devenir un navire amiral (6). Parmi les acteurs : les concurrents, les sous-traitants, les donneurs d’ordre, les fonds souverains... Sur les pratiques : les prix, les tendances,  les intermédiaires, la fiscalité les habitudes de la compétition. Contrairement à une croyance courante, plus il y a de paramètres en jeu, moins il y a de solutions, et même les solutions ne remplissent pas tous les critères.
La direction IE de Total travaille à partir de questions posées en interne  pour aller au-delà des connaissances avancées du demandeur. La direction IE travaille sur des sources ouvertes (pas de banques de données propriétaire) couplées aux contacts sur le terrain.

J.-P Vuillerme ADIT intervient sur le thème : « Pourquoi et comment investir dans des pays instables ». Il annonce en préambule que les événements réputés imprévisibles peuvent toujours être anticipés, les managers étant jugés sur leurs actions dans le prévisible et leur réaction face à l’inattendu. La surprise stratégique n’existe pas, il faut éviter deux écueils : la dramatisation à outrance des prospectivistes et la sous-évaluation des signaux faibles. Cela dit, il faut être préparé aux situations de crise censées ne jamais intervenir. La mondialisation est incontournable, il faut pour les entreprises françaises notamment sortir de leur territoire d’origine, cette croissance est synonyme de survie. Le risque rencontré est multiforme, et son appréciation est souvent polluée par des illusions, comme en Inde, avec peu de direction politique centralisée, ou au Brésil, soumis à une importante criminalité.  La Chine a, elle, inventé un communisme de marché : en regardant à nouveau sa position au 17e siècle, on observe une ambition proportionnelle à la taille de sa population.  De manière générale, une forme d’ordre a disparu au profit d’un chaos observé, issu de conflits moins politiques et plus sociaux, de situations évolutives rapides, qui engagent fortement la responsabilité pénale des chefs d’entreprise.  L’appréciation des risques (criminels, politiques, sociaux et terroristes) requiert une approche à caractère systémique : par exemple en Iran, quand le pouvoir central est vacillant, les forces locales se développent, générant des risques importants partagés par tous les concurrents sur le territoire. Différentes stratégies de protection personnelle des missionnaires sont possibles ; J.-P. Vuillerme évoque un exemple extrême d’un ami avocat, brun donc moins repérable, qui préfère se déplacer simplement en taxi, habillé en costume local, mais il n’est guère possible de proposer cette solution à des collaborateurs en mission.
Le reste de la présentation détaille le cas du centre d’affaire de Bagdad, qui offre quinze bureaux pour les entreprises françaises, en faisant un rappel de quelques chiffres et de l’histoire à influences multiples de ce pays.  L’ADIT est délibérément installée en zone rouge, permettant un meilleur contact avec les partenaires et autorités du pays. Jean-Pierre Vuillerme détaille les services, prestations, appuis et conditions de sécurité offerts,   et conclut en faisant  une offre (« j’ai fait un rêve ») d’installation d’une représentation GEP–AFTP, en appui des sociétés adhérentes qui, chacune individuellement, ne peut s’offrir une présence en Irak.

Yves Morel,  Schlumberger, expose ensuite la présentation de Kamel Bennaceur, aujourd’hui en charge du centre de recherche au Brésil. Il se présente comme un utilisateur de l’intelligence économique. La définition qu’il utilise est la collecte, le traitement et la diffusion de l’information, UTILE pour les actions à entreprendre. Les besoins s’appuient sur trois fondamentaux :

• l’offre et la demande,
• le capital humain,
• les sources d’énergies pour définir les compétences à développer ou à recruter,

En analysant les cycles d’activités sur une période de 30 ans, on observe que les demandes en exploration/production ne font qu’augmenter. Cette courbe indique les quantités de gens dont le RH aura besoin dans le futur. Les cycles d’activité ont impacté la courbe de distribution des professionnels du monde pétrolier. Cette courbe bimodale, avec deux pics autour de 25-30 ans et 50-55 ans, présente un creux au niveau des quadragénaires, lié aux faibles volumes d’embauche dans les années 1990. Il faut donc accélérer la formation, en réduisant le « time to autonomy », notamment en utilisant les seniors pour former les cadres. Du fait de l’activité cyclique, il est important de savoir qui peut être relâché quand l’activité baisse, ce qui implique une gestion de la « supply chain of talents ». Les réponses sont de trois types : 1) venant de l’IE, quelles sont les informations utiles 2) l’identification des défis en R&D 3) la définition de la stratégie R&D.
On observe également une forte corrélation entre la demande (et la production) pétrolière et la croissance économique (en termes de PNB). Il faut donc obtenir plus d’informations sur les pays situés hors OCDE, comme le Brésil ou la Chine, ce qui conduit à régionaliser la stratégie. De fait, la « supply chain of talents » est critique  à Schlumberger. En cas de baisse d’activité, il convient d’aménager, d’opter pour des stratégies de remplacement, pour conserver les talents-clés : payer un salarié pour faire un « break » (Incentivized Leave of Absence), réaliser un programme de formation (Paid Educational Leave), équilibrer les rotations dans les zones stratégiques (Equal rotation in key locations). Le management travaille sur les trois principes : « retention, motivation and morale ». Si les cycles d’activité du monde de l’énergie présentent des ruptures, une approche IE montre que le besoin en facteurs fondamentaux ne change pas dans le temps. En conclusion, le cerveau est considéré comme le premier des outils : « We set "brain" on top of tools ».

Lors des débats avec la salle, les questions suivantes ont été posées :
Q : pourquoi l’intelligence économique ne fait pas assez partie des formations aux métiers des ingénieurs, alors qu’elle devrait faire partie du cursus, étant fondamentale pour notre industrie (en lien avec la conférence des grandes écoles ) ?
R : il existe des cursus intégrant une sensibilisation à l’IE, comme un cursus d’une semaine à l’école des ponts, ou une formation plus complète à l’EGE (école de guerre économique) (7). L’intelligence économique reste un métier, auquel il n’est pas évident de se former, et qui requiert de croiser des regards différents. Cf. Hannah Arendt, dans « La condition de l’homme moderne » : le fait humain, c’est la pluralité. Par exemple, la direction IE de Total (une dizaine de personnes) est constituée de personnes d’expérience ayant des formations initiales et des parcours professionnels complémentaires.
Q : quelle est la  place de l’éthique ?R : elle est totale ou n’est pas, il n’y a pas de compromis. Il existe certes un espionnage qui est une violence d’état, partiellement tolérée. Mais du point de vue de l’intelligence économique, il n’est pas possible d’agir ainsi, de placer un stagiaire pour acquérir des informations non ouvertes, etc.
Q : quid des NTIC ?R : il existe des risques et des enjeux liés aux NTIC (nouvelles technologies de l’information et de la communication), au web 2.0 et au web sémantique. Il faut faire attention aux bruits, ne pas être submergé par les indicateurs.  En entreprise, les employés ne sont pas (assez) informés des risques de leur activité sur les réseaux sociaux. L’opinion personnelle d’un employé peut nuire (involontairement) à une entreprise, quand la source indique sa profession. Il y a un devoir d'éducation dans l'entreprise, et il faut faire une veille sur la  communication d'information non souhaitée. 

(1) Équipements Innovants SUBSEA, imagerie sismique, les défis de l’Arctique, industrie et Universités : "technicité et formation d’excellence", cf. http://www.aftp.net/association/evenmtasso-fichejdp.php?id=766&onglet=2
(2) ADIT : Agence pour la diffusion de l’information technologique créée en 1992, partiellement privatisée en 2011.
(3) Cf. rapport IFPEN « Les investissements en exploration-production et raffinage », octobre 2011, cité dans « L’industrie pétrolière investit toujours plus » : http://www.lefigaro.fr/matieres-premieres/2011/10/11/04012-20111011ARTFIG00817-l-industrie-petroliere-investit-toujours-plus.php
(4) http://goliath.ecnext.com/coms2/gi_0199-12521837/Petrobras-subsalt-monopoly-raises-concern.html
(5) https://www.allianz.com/en/press/news/company_news/human_resources/news_2010-11-26.html
(6) Le Kazakhstan, nouveau partenaire économique de la Corée du Sud , KBS World : http://world.kbs.co.kr/french/news/news_issue_detail.htm?No=22443
(7) Une ambition affichée lors du lancement de la chaire d’intelligence à l’université Paris Dauphine est de sensibiliser (tous) les  étudiants à l’intelligence économique dès 2013 , cf. http://blog.lefigaro.fr/crequy/2011/02/tous-les-etudiants-sensibilises-a-lintelligence-economique-des-2013.html et lancement référentiel de compétences