Focus par Philippe Bouchez El Ghozi avocat associé, Jeantet

(à propos du Flash DGSI n° 102, avr. 2024, approches étrangères ciblant des salariés d’identités sensibles hors du cadre professionnel)

La principale vulnérabilité est « la naïveté qui provient d’une méconnaissance du danger ». Face aux risques d’ingérence économique et aux tentatives d’approches de concurrents ou de services étrangers auprès de salariés exerçant des fonctions stratégiques et sensibles au sein d’entreprises françaises, tel est le constat (S. Houlié, rapp. relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2022-2023, 29 juin 2023, p. 35) effectué par la délégation parlementaire au renseignement qui a notamment pour mission de surveiller et de contrôler les activités de lutte contre les ingérences étrangères, lesquelles « s’opèrent de façon de plus en plus décomplexée [et] prennent des formes multiples : opérations de désinformation, cyberattaques, espionnage, opportunités juridiques liées à l’extraterritorialité, corruption, trahison, etc. ».

Dans ce contexte, la DGSI (direction générale de la sécurité intérieure) diffuse régulièrement, au travers de ses « flash ingérence », des retours d’expérience concernant des cas d’ingérence économique emblématiques qui soulignent la grande diversité des approches étrangères dont peuvent faire l’objet des entreprises françaises, parfois avec la complicité de services de renseignement étrangers.

Approches multiples via notamment des réseaux sociaux, des plateformes d’échanges de services, des publications officielles, des clubs sportifs, des lieux de restaurations ou de loisirs proches de l’entreprise, des échanges professionnels ou personnels, des sites de rencontre (permettant ainsi d’identifier des traits de caractère, des centres d’intérêt, des attentes et aspirations, des vulnérabilités), nombreuses sont les cibles : jeunes chercheurs, cadres de PME ou de grands groupes, salariés de premier niveau ou de direction, sous-traitants… Quatre leviers sont ainsi couramment utilisés pour inciter un salarié, parfois malgré lui, à fournir des renseignements : l’argent, l’idéologie, la coercition et l’ego (MICE : Money, Ideology, Compromission, Ego).

Rémunérations en espèces, avantages en nature, promesses d’ordre privé ou professionnel, offre de cadeaux, invitations régulières dans des restaurants sont des méthodes classiques d’approche qui doivent alerter le salarié. Ces situations doivent être signalées sans délai, au risque d’être pris dans l’engrenage d’une relation compromettante ou illégale.

Face à ces menaces, souvent sous-estimées par « naïveté », les entreprises françaises doivent se prémunir contre ce risque, qui est amené à s’accroître, et veiller ainsi à mettre en œuvre notamment les mesures de prévention, de contre-ingérence et de conformité suivantes :

• s’assurer que chaque salarié a accès uniquement aux informations et documents dont l’accès lui est autorisé ;
• adapter sa cartographie des risques, sur la base d’une démarche fondée sur le tryptique « prévention, détection, remédiation »visant à sécuriser les actifs de l’entreprise et le secret des affaires, afin d’identifier les informations sensibles et stratégiques ainsi que les situations à risques de façon à évaluer les conséquences en cas de fuite d’informations sensibles ;
• développer une culture de la sécurité et de la vigilance en sensibilisant les salariés sur les approches étrangères auxquelles ils peuvent être confrontés et en les incitant à faire remonter toute sollicitation inhabituelle ;
• surveillance des signaux faibles : changements de comportements, signaux de stress et d’euphorie, curiosité d’un salarié qui dépasse le domaine de ses attributions, changement de train de vie et d’apparence, paiement de dépenses parfois conséquentes en espèces.

Sécuriser l’entreprise passe ainsi – et aussi – par une conformité adaptée.