Vidar — Résilience et assurance de mission

Toute plateforme de défense est jugée lors de son pire jour, non lors d'une démonstration. L'adversaire choisit le moment, la surface et l'intensité de l'attaque ; la défense ne choisit rien de tout cela. Ce qu'elle peut choisir, c'est son comportement lorsque qu'une partie du système défaille. Vidar existe pour répondre à cette question : une détection, une corrélation et une réponse qui continuent de fonctionner lorsque l'environnement cesse de coopérer.

Vidar est le bras défensif de Zendrix. Il observe, corrèle et répond aux événements adversariaux dans des environnements où la défaillance entraîne un coût opérationnel réel — installations de défense, réseaux d'infrastructures critiques et opérations qui ne peuvent être interrompues pour maintenance. Cet article décrit ce que fait la plateforme, comment elle se comporte en régime dégradé et pourquoi nous traitons la continuité comme une propriété mesurée plutôt que comme une promesse commerciale.

Ce que signifie l'assurance de mission

L'assurance de mission est la discipline de la conception pour l'état dégradé. Au lieu de supposer que chaque composant sera disponible, la plateforme part du principe que l'un d'entre eux ne le sera pas — et organise son fonctionnement pour que la mission survive à cette absence. Cela s'applique aux capteurs, aux liaisons de communication, aux nœuds de traitement et à la connectivité avec les réseaux externes.

En pratique, cette discipline se traduit par une dégradation gracieuse. Lorsqu'un composant défaille, la plateforme réduit son périmètre de manière contrôlée : elle conserve les fonctions critiques, suspend les fonctions auxiliaires et énonce clairement ce qui n'est plus disponible. L'opérateur n'a jamais à deviner l'état du système. Cette transparence fait partie de la capacité défensive, car les décisions prises sur une image erronée sont pires que les décisions prises sur une image réduite et connue.

Vidar applique le même principe à la détection. La corrélation d'événements exige du contexte, et ce contexte peut être temporairement indisponible. Plutôt que de devenir silencieuse, la plateforme déclare explicitement le niveau de confiance de chaque corrélation et opère sur des hypothèses conservatrices lorsque le contexte est incomplet. Nous préférons une alerte honnête sur une lacune à une détection assurée fondée sur des données que nous ne possédons pas.

Détection et corrélation : le contexte avant le volume

Les systèmes de détection défaillent de deux manières opposées. La première est le silence : l'événement qui passe inaperçu. La seconde est le bruit : un volume d'alertes qui transforme l'opérateur en filtre humain épuisé. Vidar traite ces deux cas comme un même problème — l'absence de contexte. Corréler, c'est réduire un ensemble de signaux dispersés à un petit nombre d'explications plausibles, chacune assortie des éléments de preuve associés.

À cette fin, la plateforme travaille avec des représentations structurées et ouvertes des menaces, ce qui permet d'incorporer du renseignement provenant de sources distinctes sans dépendre de formats propriétaires. La représentation ouverte importe pour deux raisons. Premièrement, elle permet à différentes institutions d'échanger des informations sans conversions fragiles. Deuxièmement, elle permet à un analyste de vérifier pourquoi une corrélation a été produite — plutôt que d'en accepter simplement le résultat.

Cette vérifiabilité fait partie du produit. Chaque corrélation porte les éléments de preuve qui la soutiennent et l'incertitude qui l'entoure. Lorsque la plateforme ne sait pas, elle le dit. L'opérateur reçoit une image exploitable et sait exactement où se situent les lacunes.

La réponse sous enveloppe et sous autorité

La réponse est la partie la plus délicate de tout système défensif, car répondre c'est agir. Vidar opère sous une enveloppe formelle : chaque type de réponse a des limites déclarées, des conditions d'activation et une autorité requise. Les actions à faible impact et hautement réversibles peuvent s'exécuter à la vitesse de la machine ; les actions aux conséquences sensibles exigent toujours une autorité humaine.

Cette conception n'est pas une concession à la prudence. C'est un avantage opérationnel. Un système qui sait exactement ce qu'il peut faire répond plus vite dans ses limites et n'a pas besoin d'être bridé par des procédures génériques. L'alternative — une autonomie sans enveloppe — contraint l'organisation à choisir entre un risque inacceptable et une lenteur permanente.

Vidar traite également la sécurité physique comme un invariant. Les actions dont l'effet physique n'est pas modélisé sont bloquées par conception. Dans les infrastructures critiques, cela signifie que la plateforme ne peut être la cause d'un effet que personne n'a prévu. Dans un environnement de défense, cela signifie que la responsabilité reste traçable jusqu'à l'autorité qui a autorisé l'action.

Continuité en isolation et sous audit

Vidar est conçu pour opérer là où le réseau ne parvient pas. Les installations sensibles, les frontières éloignées et les navires exigent une capacité complète sans dépendre de services externes : cognition locale, état local et vérification locale de l'intégrité. La plateforme exécute également des exercices périodiques d'opération dégradée, car une capacité de continuité qui n'a jamais été éprouvée n'est qu'une hypothèse.

L'audit est l'autre face de la même discipline. Chaque action pertinente laisse une trace vérifiable, protégée contre toute altération ultérieure. Cela sert l'opérateur, qui doit reconstituer ce qui s'est passé ; cela sert le superviseur, qui doit confirmer que les limites ont été respectées ; et cela sert le client institutionnel, qui doit démontrer à des tiers que son exploitation est gouvernée.

Cette priorité de restauration est déclarée à l'avance. Chaque fonction critique a un temps maximal tolérable d'indisponibilité et un ordre de rétablissement défini conjointement avec le client, et non découvert pendant l'événement critique. Lorsque les ressources sont rares, et lors d'un véritable événement critique elles le seront, la plateforme sait ce qu'il faut restaurer en premier et pourquoi. Cette clarté transforme la réponse à l'événement critique d'une improvisation en une procédure, et permet à l'organisation de communiquer honnêtement aux tiers ce qui a été préservé et ce qui a été sacrifié à chaque étape.

L'assurance de mission, en ce sens, consiste moins à prévenir toute défaillance qu'à défaillir dans l'ordre qui fait le moins mal.

En définitive, Vidar répond à une exigence simple et difficile : une continuité opérationnelle mesurée, non promise. Le bras défensif qui ne dort jamais n'est pas celui qui ne défaille jamais — c'est celui qui continue d'accomplir la mission pendant qu'il défaille, et qui peut énoncer précisément ce qu'il est encore capable de faire.