Conversation
-
Ceuta : dernier kilomètre du renseignement
sourceLes 30 et 31 juillet, environ 70 000 personnes ont tenté d’entrer dans l’enclave espagnole de Ceuta depuis le Maroc, lors de l’un des plus importants épisodes de franchissements massifs de frontière qu’ait connus l’Espagne ces dernières années. Cette mobilisation avait été précédée, pendant plusieurs semaines, d’appels à franchir la frontière et d’échanges sur les réseaux sociaux et les plateformes de messagerie.
Une question s’est rapidement posée : ces signaux avaient-ils été détectés à temps par les services de renseignement espagnols et, surtout, avaient-ils été traduits en décision ?
L’Espagne débat actuellement de la question de savoir si ses services de renseignement ont alerté le gouvernement avant que des dizaines de milliers de personnes n’entrent dans l’enclave espagnole de Ceuta le 30 juillet.
Le gouvernement reconnaît qu’il disposait d’informations faisant état d’une hausse saisonnière des arrivées. Il affirme qu’aucun rapport de renseignement n’avait anticipé un événement d’une telle ampleur. Le ministre de l’Intérieur, Fernando Grande-Marlaska, a déclaré qu’aucun service de renseignement n’avait signalé « une circonstance de cette nature » (RTVE).Des sources attribuées à la communauté espagnole du renseignement présentent une autre version. Selon ces témoignages, le Centre national de renseignement aurait adressé plusieurs alertes au ministère de l’Intérieur. D’autres articles affirment que le principal groupe de discussion encourageant le franchissement de la frontière avait été identifié huit jours avant les événements (Cadena SER, La Razón).
Localisation CeutaCes récits reposent sur des sources anonymes. La juridiction nationale espagnole a désormais demandé à la Guardia Civil d’établir si certaines de ses unités à Ceuta avaient reçu des informations susceptibles de constituer une alerte préalable (Demócrata).
L’enquête devra déterminer ce qui était connu, à quel moment, et où ces informations ont circulé. Pour l’ensemble de la communauté de la sécurité, Ceuta met déjà en lumière un problème plus profond. Les organisations de sécurité sont devenues très performantes dans la collecte de signaux. Elles restent beaucoup moins constantes lorsqu’il s’agit de décider ce que ces signaux exigent de faire.
Ce qui était visible avant Ceuta
L’activité numérique qui a précédé le 30 juillet s’est développée publiquement pendant plusieurs semaines. Des rumeurs concernant une décision de la Cour suprême espagnole ont circulé sur Facebook, Instagram, TikTok, WhatsApp et Telegram. Cette décision a été présentée comme une ouverture de la frontière. Des comptes ont partagé des exemples de franchissements réussis, des itinéraires et des instructions pratiques.
Une campagne en ligne liée à Ceuta aurait généré environ 11 millions de vues depuis le début du mois de juillet (AFP). Une vidéo Instagram montrant un itinéraire entre Fnideq et Ceuta a atteint 1,4 million de vues dans les jours précédant le franchissement. D’autres comptes orientaient leurs abonnés vers des groupes WhatsApp où les trajets étaient discutés et coordonnés (CBC).
Les données publiques montraient également une pression physique croissante. Au 15 juillet, le ministère espagnol de l’Intérieur avait enregistré 2 826 entrées irrégulières à Ceuta depuis le début de l’année 2026, soit une hausse de 146 % par rapport à l’année précédente (Antena 3).
Pris ensemble, ces éléments soulevaient une question de renseignement bien avant que l’ampleur et le calendrier de l’événement puissent être établis.
Les signaux n’étaient-ils que les fragments d’un schéma saisonnier habituel ? Ou étaient-ils en train de devenir quelque chose de qualitativement différent ? C’est à ce moment que la collecte s’arrête et que commence l’analyse.De la détection à l’analyse
Les discussions sur la sécurité ont souvent tendance à considérer l’alerte comme une situation binaire. Une organisation a été alertée. Ou elle a été prise par surprise. Le véritable travail de renseignement se situe entre ces deux situations.
Le premier signal est généralement ambigu. Sa source peut être inconnue. Sa portée peut être mesurable alors que son effet reste incertain. De larges audiences ne se mobilisent pas toujours, tandis que de petits groupes peuvent provoquer de graves perturbations.
Le renseignement doit répondre à plusieurs questions :
- L’information est-elle crédible ?
- L’activité observée révèle-t-elle une capacité, une intention, ou les deux ?
- Quelles personnes, quels lieux ou quelles opérations pourraient être affectés ?
- À quelle vitesse la situation pourrait-elle évoluer ?
- Quel niveau de confiance peut-on accorder à l’analyse ?
- Quelles mesures de précaution seraient proportionnées ?
Une alerte qui indique que « quelque chose pourrait se produire » transfère l’incertitude à son destinataire. Une analyse de renseignement structure cette incertitude en décrivant le changement observable, les conséquences plausibles, le niveau de confiance et le temps restant pour agir.
Cette distinction est importante dans tous les domaines de la sécurité. Un SOC peut détecter une activité anormale avant que la nature d’une intrusion ne soit clairement établie. Un gouvernement peut identifier une mobilisation sans savoir combien de personnes y répondront.
Attendre la certitude revient à résoudre le problème analytique en laissant l’événement le résoudre à notre place.
Le dernier kilomètre
Une évaluation de renseignement doit parvenir à quelqu’un qui en comprend les conséquences, dispose de l’autorité nécessaire pour agir et peut mobiliser les ressources requises à temps. C’est le dernier kilomètre du renseignement : le point de rencontre entre la collecte, l’analyse et le management.
Au sein d’un gouvernement, ce chemin peut passer par les services de renseignement, les chaînes de commandement de la police, les autorités frontalières, les ministères, les administrations régionales et les responsables politiques. Dans une entreprise opérant une infrastructure critique, il peut passer par le SOC, la sûreté de l’entreprise, la direction des sites, la continuité d’activité, la communication et le comité exécutif.
Ceuta, carrefour maritime et numériqueChaque acteur appréhende la situation selon un mandat différent. Le SOC cherche à savoir si les systèmes sont affectés. La sûreté de l’entreprise s’interroge sur l’exposition des personnes et des sites. Les opérations évaluent la continuité d’activité, la communication suit le récit qui se construit, et la direction décide si une intervention est justifiée.
La menace continue d’évoluer pendant que l’organisation traduit la situation entre ces différentes perspectives.
Ceuta illustre le problème de gouvernance qui en résulte. Des signaux existaient, l’augmentation des arrivées était mesurable et des alertes des services de renseignement ont peut-être circulé. Leur contenu et leurs destinataires restent contestés, tandis que l’ampleur finale a dépassé l’évaluation reconnue par le gouvernement.
Les questions décisives sont donc organisationnelles :
- Qui était responsable de la vision d’ensemble ?
- Qui pouvait modifier le niveau de préparation ?
- Quel seuil aurait justifié un renforcement des moyens ?
- Quel niveau d’incertitude le décideur était-il censé accepter ?
Ces questions doivent faire partie d’un retour d’expérience au même titre que la qualité de la collecte et de l’analyse.
Décider sans certitude
Les responsables de la sécurité reçoivent rarement une alerte complète. L’attribution peut rester incertaine, le calendrier imprécis et l’ampleur projetée exprimée sous la forme d’une fourchette. La décision doit malgré tout être prise.
Une réponse pragmatique peut reposer sur quatre critères :
Probabilité. Dans quelle mesure l’évolution envisagée est-elle crédible, et quels indicateurs observables étayent cette évaluation ?
Impact. Quelles pourraient être les conséquences pour les personnes, les services essentiels, les sites, les chaînes d’approvisionnement ou l’ordre public ?
Délai. Combien de temps faut-il pour mettre en place une préparation efficace ?
Réversibilité. Quel serait le coût d’activation d’une mesure, puis de sa levée ?
Une intervention très perturbatrice et irréversible exige des éléments probants solides. Augmenter les effectifs, informer les responsables locaux ou placer des équipes d’intervention en alerte coûte moins cher et peut être rapidement annulé. De telles mesures peuvent être justifiées plus tôt lorsque les conséquences potentielles sont graves. L’objectif est de permettre une préparation rigoureuse dans un contexte d’incertitude.
Les équipes de cybersécurité travaillent déjà de cette manière. Les plans de réponse aux incidents définissent des niveaux d’escalade alors même que la nature d’une intrusion reste incertaine. Le threat hunting commence par des hypothèses qui sont ensuite confrontées aux éléments émergents. La même logique peut guider les décisions face à des menaces visant le monde physique mais observables dans l’espace numérique.
Ce qui a changé le 15 août
Une seconde mobilisation autour de Ceuta a offert un point de comparaison utile.
Des publications ont présenté le 15 août comme une nouvelle occasion de franchir la frontière vers l’enclave espagnole. Cette fois, la Guardia Civil a produit une évaluation de six pages fondée sur des informations accessibles au public. Elle décrivait un appel actif diffusé en ligne et présentant un potentiel de mobilisation, tout en précisant clairement que sa mise à exécution, son ampleur et ses auteurs restaient à confirmer (Spain in English).
L’évaluation conservait l’incertitude tout en fournissant aux décideurs une base structurée pour se préparer.
Les autorités espagnoles et marocaines ont renforcé leur présence. Des milliers de policiers ont été déployés des deux côtés de la frontière. Des centaines de personnes se sont présentées et les autorités marocaines auraient procédé à près de 300 interpellations (CBC).
De nombreuses variables peuvent expliquer cette différence de résultat. La séquence opérationnelle reste néanmoins instructive :
- Signal.
- Évaluation.
- Décision.
- Préparation.
C’est ainsi que le dernier kilomètre est censé fonctionner.
Une vision partagée du renseignement
Ceuta montre également pourquoi la frontière entre cybersécurité et sûreté de l’entreprise est de moins en moins pertinente lorsqu’il s’agit de renseignement.
Des signaux numériques ont eu des conséquences sur les personnes, les services publics, les transports et les infrastructures physiques.
Les équipes de cybersécurité ont développé des capacités utiles sur l’ensemble de cette chaîne : collecte continue, analyse comportementale, détection des anomalies, threat hunting, corrélation et procédures d’escalade structurées.
La sûreté de l’entreprise apporte le contexte nécessaire pour traduire ces signaux en conséquences physiques : sites exposés, présence de salariés, itinéraires critiques, acteurs locaux, dépendances opérationnelles et mesures de protection disponibles.
Ces fonctions peuvent conserver des responsabilités distinctes tout en contribuant à une vision partagée du renseignement.
Pour les opérateurs d’infrastructures critiques, cette nécessité est particulièrement claire. Les sites énergétiques, les ports, les plateformes de transport, les infrastructures de télécommunications, les hôpitaux et les centres de données ne dépendent pas uniquement de l’intégrité de leurs systèmes techniques. Ils dépendent également de l’accès physique, des personnels, de la logistique et du bon fonctionnement de leur environnement opérationnel.
Une campagne organisée dans l’espace numérique peut affecter ces quatre dimensions.
La collecte multilingue et multiplateforme doit faire partie de cette vision commune, tout comme la capacité à corréler des évolutions externes avec les personnes, les sites, les fournisseurs et les itinéraires propres à une organisation. Les systèmes d’IA automatisés et agentiques peuvent contribuer à effectuer ces corrélations à grande échelle ; la responsabilité de l’interprétation et des décisions ayant des conséquences reste humaine.
La question du management
La juridiction nationale espagnole pourra peut-être déterminer si des unités à Ceuta ont reçu des alertes et comment celles-ci ont été traitées. Mais la leçon durable dépasse déjà ce débat.
La performance en matière de sécurité ne peut pas être mesurée uniquement à l’aune de la collecte d’un signal ou de l’émission d’une alerte. Elle dépend également de la capacité à structurer l’incertitude, à définir clairement les responsabilités et à préserver la possibilité d’une action proportionnée.
La cybersécurité a consacré des années à améliorer la vitesse de détection. Le prochain défi consiste à réduire la distance entre la détection et la décision. C’est dans cet intervalle que les menaces émergentes gagnent du temps. C’est aussi là que la valeur du leadership en matière de sécurité se démontre.
Manuel Bohé est fondateur et CEO de Concepture Group, l’un des principaux cabinets allemands de conseil en sécurité, implanté à Cologne, Hambourg, Baden-Baden et Houston, aux États-Unis. Il est également chercheur en sécurité auprès de l’Association fédérale allemande pour la protection des infrastructures critiques (BSKI) et membre permanent de la Commission fédérale pour la cybersécurité du Conseil économique de la CDU.
The post <strong>Ceuta</strong> : dernier kilomètre du renseignement appeared first on INCYBER NEWS.