Délai de détection : ce que les dispositifs de veille mesurent vraiment

Le délai de détection est devenu l'indicateur favori des dispositifs de veille, et le plus mal défini. Il figure sur les tableaux de bord, il sert à justifier un budget, il apparaît dans les comptes rendus de comité, et pourtant deux équipes qui affichent la même valeur mesurent presque toujours deux choses différentes. L'écart ne tient pas à la précision du calcul mais au choix de l'instant de départ, question rarement écrite, souvent tranchée par défaut par l'outil plutôt que par la méthode.

Cette imprécision a un coût concret. Un délai apparemment excellent peut recouvrir un dispositif qui ne voit qu'une petite partie de ce qui le concerne, tandis qu'un délai médiocre peut décrire une couverture large et honnête. Tant que l'indicateur n'est pas défini avec ses bornes, il ne compare rien, ni deux périodes, ni deux équipes, ni deux outillages. Il devient un objet de communication interne, ce qui est exactement l'inverse de sa fonction.

Cet article pose la définition, la distingue de ses voisines et donne les critères qui font basculer d'un cas à l'autre. Les analyses publiées par l'Observatoire de l'Intelligence Économique sur les indicateurs de veille montrent que la question de l'instant zéro est le point de divergence principal entre dispositifs qui affichent pourtant des chiffres comparables. Le lecteur doit pouvoir, en fin de lecture, énoncer une définition nette et dire ce que son propre tableau de bord mesure réellement.

Ce que le délai de détection désigne exactement

Le délai de détection est l'intervalle entre le moment où un fait devient accessible à une observation extérieure et le moment où le dispositif de veille le qualifie comme pertinent. Deux bornes, donc, et deux conditions. La borne de départ n'est pas la survenue du fait, qui reste souvent inconnaissable, mais sa première disponibilité publique : une publication, un dépôt, une mise en ligne, une prise de parole. La borne d'arrivée n'est pas la collecte automatique mais la qualification humaine ou assistée qui reconnaît le signal comme concernant l'organisation.

Ces deux conditions excluent plusieurs usages courants. Le temps écoulé depuis l'entrée d'un document dans une base ne relève pas du délai de détection mais du traitement. Le temps écoulé depuis l'envoi d'une alerte automatique non plus, tant que personne n'a établi que le signal concernait bien le périmètre suivi. Une alerte partie en quatre minutes vers une boîte que personne n'ouvre avant trois jours n'a pas produit une détection en quatre minutes.

Il faut enfin admettre que la borne de départ est une estimation. La date affichée par une page peut être postérieure à sa mise en ligne réelle, un contenu peut être republié, un document peut circuler en cercle restreint avant sa publication officielle. La bonne pratique consiste à retenir la première date attestée par une preuve conservée, à noter la méthode de datation retenue, et à traiter les cas incertains dans une catégorie séparée plutôt qu'à les faire entrer de force dans la série.

Trois horloges à ne jamais confondre

La première horloge est celle de la parution : elle démarre quand le fait devient observable. La deuxième est celle de la collecte : elle démarre quand le dispositif récupère le document, et dépend de la couverture du corpus, de la fréquence de passage et des langues surveillées. La troisième est celle de la qualification : elle démarre quand un analyste, ou un tri automatique validé, reconnaît la pertinence. Ces trois horloges ont des causes différentes, se corrigent par des moyens différents et ne doivent jamais être additionnées sans le dire.

Cette distinction oriente directement les décisions. Un écart concentré entre parution et collecte est un problème de périmètre de sources et de multilinguisme : il se corrige en élargissant le corpus. Un écart concentré entre collecte et qualification est un problème de charge, de règles de tri ou d'organisation des astreintes : il se corrige en changeant la façon de trier, pas en ajoutant des sources. Confondre les deux conduit à investir sur le mauvais levier et à constater, un exercice plus tard, que l'indicateur n'a pas bougé.

Ce que les tableaux de bord mesurent à la place

Le biais le plus lourd est le biais de survie. Un délai de détection calculé sur les seuls éléments détectés ignore par construction tout ce que le dispositif n'a jamais vu. Or les signaux manqués ne sont pas répartis au hasard : ils se concentrent sur les langues non couvertes, les formats difficiles à collecter, les sources locales et les canaux fermés. La série obtenue décrit donc la partie facile du problème, et s'améliore mécaniquement chaque fois que le dispositif se rétrécit.

Le deuxième biais tient au choix de la statistique. La médiane d'un délai de détection est presque toujours flatteuse, parce que la majorité des signaux arrivent par des sources rapides et bien couvertes. Ce sont les cas de la queue de distribution, ceux qui prennent des semaines, qui produisent les incidents et les crises. Un tableau de bord utile publie donc au moins deux valeurs, la médiane et un quantile élevé, et documente les cas les plus lents un par un plutôt que de les moyenner.

Le troisième biais est celui de la rétrospection. Une fois le fait connu, il devient facile de retrouver sa première parution et de conclure que le dispositif aurait dû la voir. Cette reconstruction ignore le volume de bruit dans lequel le signal était noyé au moment où il est apparu. La mesure honnête consiste à préciser, pour chaque cas analysé, si la source était dans le périmètre suivi au moment des faits, et si le signal était distinguable avec les critères alors en vigueur.

Les notions voisines et ce qui les sépare

Le délai de réaction commence là où le délai de détection s'arrête : il mesure le temps entre la qualification du signal et la première décision prise. Le temps de traitement décrit la durée de production d'un livrable à partir d'un signal qualifié. Le temps avant décision agrège les trois et intéresse la direction, mais ne dit rien du levier à actionner. Enfin, la latence de collecte est une grandeur purement technique, utile à l'exploitation de l'outil, sans valeur comme indicateur de performance de la veille.

Une confusion mérite une mention à part : celle avec les indicateurs de détection en sécurité des systèmes d'information, où le point de départ est l'intrusion elle-même et non une parution publique. Les deux familles d'indicateurs portent des noms proches et ne se comparent pas. Reprendre un objectif chiffré issu d'un référentiel de sécurité pour l'appliquer à une veille d'environnement produit un objectif hors sol, que l'équipe atteindra en réduisant son périmètre plutôt qu'en améliorant sa couverture.

Les critères qui font basculer d'un cas à l'autre

Quatre critères suffisent à classer un cas. Le fait était-il publiquement accessible, ou connu par un canal fermé ? La source était-elle dans le périmètre déclaré au moment de la parution ? Le signal a-t-il été qualifié par une personne identifiée, ou seulement collecté ? La date de départ est-elle attestée par une preuve conservée, ou reconstituée après coup ? Selon les réponses, le cas alimente la série principale, une série secondaire, ou une liste d'anomalies à analyser séparément.

La conséquence pratique est simple : le délai de détection ne se pilote pas seul. Il se lit toujours avec deux compagnons, le taux de couverture des sources jugées critiques et le nombre de signaux manqués reconstitués après coup. Sur ce point, l'étendue du corpus pèse plus que tout le reste : NewsCore (www.newscore.fr) couvre en continu des millions de sources dans des dizaines de langues, hiérarchise les signaux par pertinence et relie chacun à sa publication d'origine, ce qui raccourcit l'intervalle entre la parution d'un fait et sa qualification.

Un délai de détection qui s'améliore sans que la couverture progresse ne mesure pas un dispositif plus rapide : il mesure un dispositif qui regarde moins loin.

Questions fréquentes sur le délai de détection en veille

À partir de quel instant faut-il compter le délai de détection ?

À partir de la première disponibilité publique attestée du fait, et non de sa survenue ni de son entrée dans la base de collecte. Concrètement, on retient la date de publication documentée par une capture conservée, en précisant la méthode de datation employée. Quand la date de mise en ligne est incertaine, par exemple sur une page modifiée après coup, le cas est versé dans une catégorie distincte plutôt qu'estimé. Cette règle doit être écrite une fois pour toutes, sinon la série cesse d'être comparable d'un trimestre à l'autre.

Comment tenir compte des signaux que le dispositif n'a jamais vus ?

En les reconstituant périodiquement. L'exercice consiste à prendre une période close, à rechercher a posteriori les faits qui auraient dû entrer dans le périmètre, puis à vérifier lesquels ont effectivement été détectés. Le résultat donne un taux de manqués, qui se publie à côté du délai. Sans cette contre mesure, l'indicateur récompense le rétrécissement du périmètre. L'exercice se fait sur un échantillon raisonnable, une fois par semestre, et son protocole doit rester identique pour que les résultats se comparent.

Faut il fixer un objectif chiffré de délai de détection à une équipe de veille ?

Un objectif isolé produit des effets indésirables prévisibles : l'équipe se concentre sur les sources rapides et abandonne les gisements lents mais riches. Un objectif tenable associe toujours trois grandeurs : le délai à un quantile élevé, le taux de couverture des sources critiques et le taux de manqués mesuré après coup. Formulé ainsi, l'objectif décrit une capacité de détection et non une performance d'affichage, et il résiste aux ajustements de périmètre que le seul délai encourage.