CEAS // GUIDED COUNTER-INFILTRATION WORKFLOW

SYSTEM X — INVESTIGATION ENGINE

Une machine guidée pour transformer un soupçon en enquête structurée : définir le mandat, établir la normalité, collecter des preuves, tester plusieurs hypothèses, mesurer l’incertitude et produire une réponse proportionnée.

—

RISQUE TECHNIQUE / 100PAS ENCORE ÉVALUÉ

UTILISATION SUR TÉLÉPHONESTANDALONE

Ce fichier contient toute la machine dans un seul HTML. Sur iPhone : téléchargez-le dans Fichiers, touchez le fichier pour l’ouvrir, puis utilisez Partager → Ouvrir dans Safari si nécessaire. Les dossiers restent enregistrés localement dans le navigateur utilisé.

0RISQUE

0%CONFIANCE

0PREUVES

0ÉVÉNEMENTS

CEAS ANALYST ASSISTANTGUIDANCE

Commencez par définir le mandat, l’actif à protéger et les garde-fous. La machine vous indiquera ensuite la prochaine meilleure action.

NEXT BEST ACTIONS

COLLECTION REQUIREMENTS

ENTITY BOARD

PRIMARY ENTITYNon définie

ASSETNon défini

CASENon initialisé

CASE HEALTH

Le dossier n’a pas encore assez d’éléments pour une évaluation robuste.

ÉTAPE 00 / CADRE

DÉFINIR LA MISSION AVANT DE CHERCHER

GATE 0

Ce que l’analyste doit faire

Écrire précisément ce qu’il cherche à protéger et pourquoi l’examen est autorisé. Une enquête qui commence par « trouver un traître » crée un biais. Elle doit commencer par une anomalie, un actif à protéger et une finalité définie.

ID / NOM DU DOSSIER *

ANALYSTE / UNITÉ

FINALITÉ PRÉCISE *

ACTIF / PROCESSUS À PROTÉGER *

PÉRIMÈTRE TEMPOREL

BASE / AUTORISATION DU TRAITEMENT

Finalité déterminéeJe peux expliquer clairement pourquoi ces données sont nécessaires. MinimisationJe ne collecte que les données utiles au cas. Pas de score idéologiqueOpinions, croyances, nationalité, religion et caractéristiques protégées sont exclues du scoring. Revue humaineAucune sanction ou attribution ne sera automatisée.

STOP si la finalité, l’autorisation ou la nécessité des données ne sont pas établies. La machine doit protéger le système sans transformer l’enquête en surveillance générale.

ÉTAPE 01 / BASELINE

DÉCRIRE LE NORMAL AVANT L’ANORMAL

BASELINE

Question centrale

Qu’est-ce qui serait normal pour ce rôle, ce compte ou ce système ? Sans référence de normalité, une « anomalie » n’est qu’une impression.

ENTITÉ / COMPTE / POSTE EXAMINÉ *

TYPE D’ENTITÉ

FONCTION NORMALE / BESOIN D’ACCÈS *

HORAIRES / ZONES NORMALES

NIVEAU DE PRIVILÈGE ATTENDU

ACTIFS / DONNÉES NORMALEMENT UTILISÉS ÉVÉNEMENTS EXCEPTIONNELS AUTORISÉS À CONNAÎTRE

ÉTAPE 02 / SIGNAL

FORMULER L’ANOMALIE SANS CONCLURE

OBSERVATION

Écrire ce qui s’est produit, pas ce que cela « prouve »

Exemple utile : « 42 fichiers classifiés interne ont été téléchargés à 02:14 depuis un compte qui ne les consulte habituellement pas ». Exemple à éviter : « X vole nos secrets ».

FAIT DÉCLENCHEUR *

DATE / HEURE

SOURCE DU SIGNAL

IMPACT POTENTIEL

FIABILITÉ DE LA SOURCE (A–F)

CRÉDIBILITÉ DE L’INFO (1–6)

QUELLE INFORMATION MANQUE POUR COMPRENDRE CE SIGNAL ?

ÉTAPE 03 / PREUVES

CONSTRUIRE UNE CHAÎNE DE PREUVE

0 ÉLÉMENT

Une preuve doit pouvoir être revue

Pour chaque élément : nature, date, provenance, ce qu’il montre réellement et ce qu’il ne permet pas de conclure. Conserver l’original lorsque le cadre juridique et technique le permet.

ID	TYPE	DATE	QUALITÉ	FAIT

ÉTAPE 04 / TTP

QUALIFIER LES COMPORTEMENTS OBSERVÉS

BEHAVIOUR FIRST

Le score porte sur des comportements techniques et organisationnels

Un indicateur isolé est faible. La valeur vient de la convergence : temporalité, répétition, privilèges, données, contournements et liens avec des événements externes vérifiables.

Accès hors baselineHoraire, localisation, actif ou volume atypique. Privilèges injustifiésDemande, élévation ou usage non requis par la fonction. Mouvement de données atypiqueCopie, export, compression ou transfert anormal. Altération de tracesEffacement, désactivation ou contournement de journalisation. Contournement de procédureBypass d’approbation, séparation des tâches ou contrôle. Usage anormal d’identifiantsPartage, réutilisation, accès simultané ou session inattendue. Coordination externe vérifiéeSynchronisation avec un acteur ou événement extérieur documenté. Justification contradictoireExplications incompatibles avec les tickets ou la chronologie.

Ne cochez « coordination externe » que si vous disposez d’éléments indépendants et vérifiables. Une proximité d’opinion, une langue ou une origine ne sont pas des indicateurs.

OPTION / INFORMATION SPACE

MODULE FIMI — SI LE CAS TOUCHE À L’INFLUENCE

EEAS-LIKE

A — ACTEUR / INFRASTRUCTURE

B — COMPORTEMENT

C — CONTENU / NARRATIF

D/E — DEGRÉ / EFFET

ÉTAPE 05 / HYPOTHÈSES

FORCER LES EXPLICATIONS CONCURRENTES

BIAS CONTROL

L’objectif n’est pas de confirmer H1

Pour chaque hypothèse, notez la force des éléments qui la soutiennent et ceux qui la contredisent. Une hypothèse alternative mieux expliquée doit réduire le niveau d’alerte.

HYPOTHESIS MATRIX

MATRICE COMPARATIVE

HYP.	SOUTIEN	CONTRE	NET	INTERPRÉTATION

ÉTAPE 06 / CORRÉLATION

CONSTRUIRE LA CHRONOLOGIE

0 ÉVÉNEMENT

La chronologie casse les récits trompeurs

Placez les événements dans l’ordre : accès, changement de droits, transfert, publication externe, alerte, ticket, justification. Cherchez la causalité, pas seulement la proximité.

FAIT

ÉTAPE 07 / ÉVALUATION

SÉPARER RISQUE, CONFIANCE ET ATTRIBUTION

DECISION GATE

RISQUE / 100

Convergence des anomalies techniques, impact et comportements observés.

CONFIANCE

Qualité des sources, preuves primaires, corroboration et chronologie.

ATTRIBUTION

Force relative de l’hypothèse malveillante face aux explications concurrentes.

RED TEAM GATE

ESSAYER DE DÉTRUIRE SA PROPRE CONCLUSION

J’ai recherché au moins une preuve qui contredit H1. J’ai vérifié l’existence d’une exception autorisée ou d’un changement de mission. J’ai examiné l’hypothèse d’un compte compromis / tiers externe. Les sources réellement indépendantes sont distinguées des simples reprises. Les caractéristiques personnelles et opinions ne sont pas utilisées comme preuve. Une autre personne peut relire les éléments et comprendre mon raisonnement.

JUGEMENT ANALYTIQUE — EN UNE PHRASE

QUALITY GATES

QUALITÉ DE L’ENQUÊTE

—

MANDAT

—

PREUVES

—

HYPOTHÈSES

—

RED TEAM

BESOINS DE COLLECTE AVANT ATTRIBUTION

ÉTAPE 08 / RÉPONSE

AGIR AU NIVEAU DU RISQUE — PAS DU SOUPÇON

PROPORTIONATE

Ordre conseillé

Préserver → vérifier → réduire l’exposition → coordonner → communiquer → apprendre. L’objectif initial est de sécuriser le système et de préserver les faits, pas de punir.

RESPONSABLES / PARTIES À CONSULTER MESURES DÉCIDÉES / JUSTIFICATION

RAPPORT CEAS SYSTEM X

Le rapport apparaîtra ici.

RÉFÉRENTIEL

MÉTHODE INTÉGRÉE

CISA — programme de mitigation du risque interne : ressources, signalement, évaluation et approche organisationnelle.

Carnegie Mellon SEI — 22 pratiques fondées sur l’étude de plus de 3 000 cas d’insider threat.

NIST CSF 2.0 / SP 800-53 — gouvernance, détection d’anomalies, journalisation, contrôle d’accès, incident response et privacy.

EEAS FIMI — analyser le comportement manipulatoire, les TTP, les réseaux et l’infrastructure plutôt que le seul contenu.

OASIS STIX 2.1 — modèle structuré et partageable pour les informations de menace.

RGPD / Commission européenne — finalité, minimisation, exactitude, limitation de conservation et sécurité.

AUDIT LOG