Mariam travaillait chez Crescent Solutions depuis onze ans. Elle savait où étaient rangés les filtres de la machine à café, elle se souvenait des anniversaires de tout le monde, et elle avait accès à presque tous les lecteurs partagés de l'entreprise. Personne ne remettait en question les actions de Mariam. Elle était, comme aimait le dire son responsable, « un pilier de la maison ».

C'était un mardi après-midi lorsque sa collègue Lena, du département marketing, se pencha par-dessus la cloison séparant leurs bureaux.

« Mariam, j'ai besoin du rapport de revenus clients du troisième trimestre pour la présentation au conseil de demain. Mon accès a été révoqué quand ils m'ont transférée dans le nouveau département le mois dernier, et l'informatique met une éternité à répondre. Tu peux juste me l'envoyer sur mon Gmail personnel ? C'est plus rapide. »

Mariam n'hésita qu'une fraction de seconde. Elle connaissait Lena. Lena était sympathique. Lena apportait des viennoiseries le vendredi. Et la date limite était bien réelle — elle pouvait voir le stress sur le visage de sa collègue.

Alors elle envoya le fichier.

Ce que Mariam n'avait pas pris en compte, c'est que le compte Gmail personnel de Lena n'offrait aucune norme de chiffrement, aucun outil de prévention des pertes de données, et aucune supervision de l'entreprise. Le fichier — contenant des chiffres de revenus, des noms de clients et des valeurs de contrats pour plus de 200 comptes — se trouvait désormais sur un serveur de messagerie personnel échappant au contrôle de l'entreprise. Lena n'avait aucune mauvaise intention. Elle voulait simplement accomplir son travail. C'est ce que les professionnels de la sécurité appellent une menace interne accidentelle : aucune intention malveillante, mais des dommages réels et durables pour l'intégrité des données et la conformité réglementaire.

La deuxième histoire qui se déroulait chez Crescent Solutions était bien plus délibérée.

Tariq avait été écarté d'une promotion à trois reprises en deux ans. Il souriait en réunion, se portait volontaire pour des projets, et ne disait rien publiquement — mais en privé, il avait déjà accepté une offre d'emploi d'un concurrent direct. Son dernier jour était dans trois semaines, et personne ne le savait.

Au cours des deux semaines suivantes, Tariq entreprit ce qu'il se persuadait n'être que « la conservation de copies de son propre travail ». Il téléchargea l'intégralité de la base de données des contacts clients de l'entreprise. Il exporta les documents de stratégie tarifaire qu'il avait contribué à élaborer. Il transféra des e-mails internes contenant la feuille de route produit vers son compte personnel. Chaque action, prise isolément, aurait pu sembler anodine. Ensemble, elles constituaient le vol systématique de propriété intellectuelle.

« J'ai construit la moitié de tout ça », se dit Tariq un soir, une clé USB branchée sur son ordinateur professionnel. « Ils me doivent bien ça. »

Ce que Tariq ne réalisait pas — ou dont il ne se souciait peut-être pas — c'est que le système de prévention des pertes de données de l'entreprise avait signalé un pic inhabituel dans son activité de téléchargement de fichiers. Un rapport attendait dans la boîte de réception de la sécurité informatique, non lu, pendant quatre jours. Au moment où l'équipe de sécurité l'examina et l'escalada aux ressources humaines, Tariq avait déjà remis sa démission.

L'enquête qui s'ensuivit fut coûteuse, juridiquement complexe, et profondément préjudiciable au moral des équipes. L'entreprise pouvait prouver qu'une exfiltration de données avait eu lieu,