Une stagiaire canadienne travaillant au quartier général stratégique de l’OTAN à Mons a été arrêtée fin juillet, soupçonnée d’espionnage au profit d’un pays tiers. Ce sont les propres services de sécurité du site qui ont détecté un comportement suspect et déclenché le signalement. L’affaire concerne une organisation militaire, mais le mécanisme qu’elle révèle n’a rien de spécifiquement militaire. Il concerne toute organisation qui accueille des stagiaires, des alternants ou du personnel temporaire, et c’est là que beaucoup d’entreprises baissent la garde sans s’en rendre compte.

Le stagiaire occupe une position paradoxale dans la plupart des organisations. Son statut est temporaire, sa présence est courte, et pourtant l’accès qu’on lui accorde suit souvent le même chemin que celui d’un salarié permanent, par facilité administrative plus que par choix délibéré. On lui ouvre une messagerie, on lui donne un badge, on l’intègre à des réunions de service, parfois on lui confie des dossiers sensibles parce qu’il faut bien que quelqu’un avance sur le sujet pendant l’été. Le filtrage préalable à l’embauche, quand il existe pour les postes permanents, est rarement appliqué avec la même rigueur pour un stage de trois mois.

Cette asymétrie crée une zone de moindre résistance. Un stagiaire bénéficie généralement d’une présomption de confiance qui n’a pas eu le temps de se construire, contrairement à un collaborateur en poste depuis plusieurs années et dont le comportement est connu de ses pairs. Il circule souvent entre plusieurs services, ce qui multiplie ses points de contact avec de l’information sensible, sans que la logique du besoin d’en connaître soit appliquée aussi strictement que pour un poste permanent.

Un précédent plus ancien montre que cette vulnérabilité peut aussi être visée délibérément, et préparée sur des années plutôt qu’exploitée par opportunisme. Un officier du renseignement militaire russe s’est construit à partir de 2010 une fausse identité brésilienne complète, études, historique professionnel, vie sociale, dans le seul but d’accéder des années plus tard à un poste de stagiaire analyste à la Cour pénale internationale, où se traitaient des dossiers sensibles pour Moscou. Il a été intercepté à l’aéroport avant même d’entrer en fonction. Ce cas rappelle qu’un stage peut ne pas être une simple porte négligée, il peut être la cible finale d’une stratégie construite sur le long terme, précisément parce qu’il présente moins de résistance qu’un recrutement classique.

La correction ne demande pas un dispositif lourd, elle demande de la cohérence. Quatre principes suffisent à combler l’essentiel de cette faille. Premièrement, l’accès accordé à un stagiaire doit être défini en fonction de sa mission réelle, pas de la commodité de l’équipe qui l’accueille, avec une revue systématique avant chaque arrivée plutôt qu’un gabarit d’accès reconduit d’année en année. Deuxièmement, la sensibilisation à la protection de l’information doit faire partie du parcours d’intégration au même titre que la sécurité au poste de travail, avec des exemples concrets plutôt qu’une charte signée sans être lue. Troisièmement, la fin de mission doit déclencher une désactivation d’accès aussi rigoureuse que pour un départ définitif, un point souvent négligé parce que la date de fin est connue à l’avance et donc supposée sans risque. Quatrièmement, un parcours candidat qui semble anormalement bien taillé pour le poste, sans zone d’ombre ni aspérité dans le profil, mérite une vérification un peu plus attentive plutôt qu’un enthousiasme immédiat.

Le référentiel EBIOS RM invite précisément à cartographier les sources de risque au-delà des scénarios techniques habituels, en intégrant les parties prenantes qui gravitent autour du système d’information sans en être le cœur. Le stagiaire en fait partie, tout comme le prestataire ou le sous-traitant occasionnel. Le traiter comme une catégorie à part dans l’analyse de risque, plutôt que comme une variante mineure du personnel permanent, change concrètement la manière dont l’organisation calibre ses contrôles d’accès et sa vigilance.

Les affaires de Mons et de La Haye rappellent, à dix ans d’écart et selon deux logiques différentes, une évidence que la routine finit par estomper. La protection de l’information ne se limite pas aux systèmes qu’on surveille, elle inclut les personnes à qui on les confie, pour la durée qu’on leur accorde, qu’elles aient été recrutées la veille ou préparées depuis des années. Un dirigeant qui accueille des stagiaires chaque année sans jamais avoir posé la question de leur périmètre d’accès a, sans le savoir, une politique de sécurité économique par défaut plutôt que par choix.