Procédé de détection (100) d’une cybermenace pesant sur un système d’information (10), le procédé étant mis en œuvre par un système de détection (50, 40) comportant au moins : un système de surveillance (40) du système d’information (10) ; une base de données (54) d’informations de renseignement, lesdites informations de renseignement étant collectées auprès d’une pluralité de sources externes de renseignement (30) ; et, un module de recommandation (51), le module de recommandation mettant en œuvre un moteur de propositions, le procédé consistant à : collecter (110) un ensemble de données d’observation d’un état de fonctionnement à l’instant courant du système d’information (10) ; exécuter (130) le module de recommandation pour extraire des informations de renseignement pertinentes de la base de données d’informations de renseignement en fonction de tout ou partie des données d’observation collectées, portant sur une cybermenace potentielle, et définir une proposition relative à ladite cyberattaque potentielle à partir des informations de renseignement pertinentes extraites ; transmettre (140) la proposition au système de surveillance ; et, implémenter (150) la proposition par le système de surveillance pour surveiller le système d’information (10) contre ladite cybermenace. Procédé selon la revendication 1, dans lequel, le système de détection comportant en outre un module d’analyse de tendance (58) capable d’analyser les informations de renseignement stockées dans la base de données (54) pour déterminer une évolution de la cybermenace, exécuter le module de recommandation (51) consiste à extraire des informations de renseignement via le module d’analyse de tendance (58). Procédé selon la revendication 1 ou la revendication 2, dans lequel, le système informatique comportant en outre un module d’investigation (56) capable d’analyser les informations de renseignement stockées dans la base de données (54) pour déterminer les cybermenaces les plus probables à l’instant courant, exécuter le module de recommandation (51) consiste à extraire des informations de renseignement via le module d’investigation (56). Procédé selon l’une quelconque des revendications 1 à 3, dans lequel collecter (110) des données d’observation consiste à collecter des données brutes auprès du système d’information (10) et à normaliser lesdites données brutes pour obtenir des données d’observation normalisées et utilisables par le module de recommandation (51). Procédé selon la revendication 4, dans lequel les données brutes sont générées par une composante matérielle (12), une composante de technologie de l’information (14) et/ou une composante de technologie d’exploitation du système d’information (10) à protéger. Procédé selon l’une quelconque des revendications 1 à 5, dans lequel chaque donnée d’observation est étiquetée avec une classe dont elle relève, ladite classe permettant l’extraction d’informations de renseignement par le module de recommandation (51). Procédé selon l’une quelconque des revendications 1 à 6, dans lequel le système de surveillance comporte : un composant de surveillance bas niveau, comme un composant de surveillance d’un réseau (42), un composant de surveillance d’une machine (44), ou un composant de surveillance d’une application logicielle (46) du système d’information (10) ; ou un composant haut niveau du système d’information (10). Procédé selon l’une quelconque des revendications 1 à 7, comportant une étape de transmission (160) d’une rétroaction associée à une proposition par le système de surveillance (40) vers le module de recommandation (51), conduisant le module de recommandation à générer une nouvelle proposition. Procédé selon la revendication 8, dans lequel la rétroaction est une alerte générée par le système de surveillance implémentant la proposition et détectant la cybermenace associée à ladite proposition. Procédé selon l’une quelconque des revendications 1 à 9, dans lequel une proposition comporte une partie d’action, destinée à être mise en œuvre par le système de surveillance (40) pour détecter ou contrer la cybermenace, et, de préférence, une partie de signature pour qualifier la cybermenace. Produit programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en œuvre un procédé selon l’une quelconque des revendications précédentes. Système de détection (50, 40) caractérisé en ce qu’il est adapté pour mettre en œuvre le procédé de détection d’une cybermenace pesant sur un système d’information (10) selon l’une quelconque des revendications 1 à 10, le système informatique comportant au moins : un système de surveillance (42, 44, 46) du système d’information ; une base de données (54) d’informations de renseignement collectées auprès d’une pluralité de sources de renseignement (30) ; et, un module de recommandation (51) mettant en œuvre un moteur de propositions.