Chaîne de conservation et recevabilité juridique

La chaîne de conservation est la documentation chronologique qui retrace la collecte, le transfert, le stockage et l’analyse des éléments de preuve depuis leur découverte jusqu’à leur présentation au tribunal ou leur archivage. Elle répond aux questions suivantes : qui a collecté les éléments de preuve, quand, où, comment ils ont été manipulés, qui y a eu accès et où ils ont été conservés. Une chaîne de conservation ininterrompue démontre que les éléments de preuve n’ont pas été altérés ou manipulés après leur collecte, ce qui est essentiel à leur recevabilité juridique.

Chaque élément de preuve nécessite son propre formulaire de chaîne de conservation, qui doit être rempli à chaque transfert. Les champs obligatoires comprennent : l’identifiant unique de l’élément de preuve, sa description, le numéro de dossier, la date et l’heure de la collecte, le nom et les coordonnées de la personne ayant effectué la collecte, le lieu de collecte, les valeurs de hachage cryptographique, la signature de chaque personne qui reçoit ou transfère l’élément de preuve et le lieu de stockage sécurisé. Les lacunes ou incohérences du formulaire fragilisent le dossier juridique.

Une manipulation appropriée empêche la contamination des éléments de preuve. Les bonnes pratiques comprennent : porter des gants antistatiques lors de la manipulation de matériel physique (une décharge statique peut détruire des composants électroniques et des données), utiliser des sacs antistatiques pour stocker les supports électroniques, placer les éléments de preuve dans un emballage inviolable (sacs scellés avec du ruban adhésif spécial et signés sur le scellé), les conserver dans un lieu sécurisé à accès contrôlé avec un journal des accès et ne jamais ouvrir l’emballage des éléments de preuve sans la présence d’un témoin.

Pour être admis dans le cadre d’une procédure judiciaire, un élément de preuve numérique doit satisfaire plusieurs critères. Il doit être authentique, c’est-à-dire qu’il doit être démontrablement conforme à ce qu’il prétend être (vérification du hachage). Il doit être fiable, c’est-à-dire avoir été collecté avec des outils validés et selon des procédures documentées. Il doit être complet : l’intégralité du contexte doit être préservée, et pas seulement certaines parties. Il doit être compréhensible, c’est-à-dire présenté d’une manière que le tribunal peut comprendre. Enfin, la chaîne de conservation doit être ininterrompue : chaque détenteur doit être documenté, de la collecte jusqu’au tribunal.

Lorsque des incidents impliquent une activité criminelle, les forces de l’ordre (FBI, Secret Service, unités locales spécialisées en cybercriminalité) peuvent demander des éléments de preuve. Avant de transférer des preuves, consultez un conseiller juridique afin de garantir le respect des citations à comparaître et des ordonnances de conservation. Les forces de l’ordre peuvent demander aux organisations de conserver les preuves sur place plutôt que de les supprimer — même si cela retarde la reprise. Comprendre le processus de conservation juridique et avoir établi à l’avance des relations avec les contacts des forces de l’ordre accélère cette coordination pendant un incident en cours.

Une conservation juridique (conservation en cas de litige) est une notification qui suspend la destruction ou l’écrasement habituels des documents pertinents pour un litige prévu ou en cours. Lorsqu’une organisation reçoit une notification de litige ou prévoit un litige lié à une violation, elle doit immédiatement mettre en place une conservation juridique — en préservant toutes les preuves potentiellement pertinentes, notamment les courriels, les journaux, les images forensiques et les configurations système. Le fait de ne pas mettre en place une conservation juridique, puis de détruire des preuves, peut entraîner des sanctions pour destruction de preuves — les tribunaux peuvent demander aux jurés de tirer des conclusions défavorables.

Les preuves numériques doivent respecter les règles de preuve. L’authentification exige de démontrer que la preuve est bien ce que son défenseur affirme — la vérification des hachages et la documentation de la chaîne de conservation servent à cette fin. Les documents générés par ordinateur (journaux, rapports automatisés) peuvent faire l’objet d’objections fondées sur le ouï-dire, mais sont souvent recevables comme documents commerciaux en vertu d’exceptions aux règles du ouï-dire. Les témoins experts (analystes forensiques) témoignent sur la manière dont les preuves ont été collectées et analysées, et leur méthode doit résister au contre-interrogatoire selon les critères de Daubert devant les tribunaux des US.

Les preuves doivent être stockées de manière sécurisée pendant toute la durée de la procédure judiciaire — laquelle peut se prolonger plusieurs années après l’incident initial. Les preuves matérielles nécessitent : un stockage verrouillé et climatiquement contrôlé avec des journaux d’accès, des scellés inviolables remplacés par une documentation à chaque accès aux preuves, ainsi qu’une protection contre les risques environnementaux (humidité, chaleur, champs magnétiques). Les preuves numériques (images de disques, fichiers PCAP) doivent être stockées sur des supports à écriture unique, avec une vérification périodique des sommes de contrôle afin de détecter toute dégradation du stockage.

Dans le cadre de poursuites pénales ou d’un litige civil, des analystes forensiques peuvent être appelés comme témoins experts afin d’expliquer leurs méthodes et leurs conclusions à un juge ou à un jury. Les témoins experts doivent être qualifiés — ils doivent démontrer leur formation, leur entraînement et leur expérience en criminalistique numérique. Leur méthode doit être scientifiquement valide et appliquée de manière cohérente. Les rapports forensiques doivent être objectifs, reproductibles et rédigés dans un langage accessible aux décideurs non techniques. La défense contestera la méthode, la validité des outils et la chaîne de conservation lors du contre-interrogatoire.

Les normes de preuve diffèrent entre les enquêtes internes menées par une entreprise et les poursuites pénales. Les enquêtes internes sont régies par le droit du travail et les politiques de l’entreprise — la norme consiste à déterminer ce qui suffit pour justifier une mesure des ressources humaines. Les enquêtes pénales exigent des normes de preuve plus élevées, nécessaires pour engager des poursuites au-delà de tout doute raisonnable. Les preuves recueillies par des enquêteurs privés (sans pouvoirs de police) peuvent être recevables devant un tribunal, mais elles doivent avoir été collectées légalement — les employés ne s’attendent généralement pas à une protection de leur vie privée sur les systèmes de l’entreprise lorsqu’ils ont été informés que ceux-ci feraient l’objet d’une surveillance.

Les enquêtes numériques franchissent souvent les frontières internationales, car les attaquants font transiter le trafic par des serveurs situés dans plusieurs pays. Cela crée plusieurs difficultés : l’obtention de preuves sur des serveurs étrangers nécessite des traités d’entraide judiciaire (MLATs) entre les pays, les fournisseurs de services infonuagiques peuvent être légalement empêchés de divulguer des données sans ordonnance d’un tribunal local, et GDPR restreint le transfert de données personnelles en dehors de l’EU. Lorsque des incidents impliquent une activité transfrontalière, les organisations devraient travailler avec un conseiller juridique spécialisé en droit international de la cybersécurité.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : la documentation de la chaîne de conservation suit chaque détenteur et chaque transfert, de la collecte à la présentation devant le tribunal, que les conservations juridiques doivent être mises en place immédiatement lorsqu’un litige est prévisible afin d’éviter des sanctions pour destruction de preuves, et que les preuves numériques doivent être authentiques, fiables et complètes, et vérifiées par des hachages cryptographiques pour être légalement recevables. Nous allons maintenant étudier les artefacts forensiques Windows, notamment le registre, les journaux d’événements et les fichiers Prefetch.