Piste contre fait : pourquoi un scanner devrait refuser de deviner

Un outil de sécurité qui signale tout ce qu’il soupçonne n’est pas rigoureux ; il est bruyant, et le bruit coûte cher. La discipline qui rend les constats utiles est un refus de promouvoir un soupçon en fait sans vérification indépendante.

Trois états, pas deux

Une observation est ce qu’un capteur ou un agent a produit. Une piste est une observation retenue mais non fiable. Un fait est une piste qu’une vérification indépendante et déterministe a re-vérifiée. Le troisième état est le seul qu’un rapport devrait présenter comme vrai — et il devrait toujours être distinguable du second.

Re-vérifiable, sinon cela n’a pas eu lieu

La confirmation ne devrait pas dépendre de l’outil qui a émis l’affirmation. Un fait confirmé porte sa preuve brute, une empreinte, son contexte et sa provenance, afin qu’une vérification compatible puisse se ré-exécuter plus tard — hors ligne, par quelqu’un d’autre. Si un constat ne peut survivre à la sortie de l’outil qui l’a produit, ce n’est pas encore un fait.

Le résultat nul honnête

L’absence de signal confirmant n’est pas la preuve que rien ne va. Elle signifie que l’outil ne détient pas assez de preuve pour confirmer que quelque chose ne va pas. Présenter les deux comme identiques est la manière la plus courante par laquelle un rapport de sécurité trompe son lecteur.