Investigation numérique : périmètre, préservation et coûts
Une investigation numérique examine des traces techniques pour une question précise, après un incident ou sur des données existantes. Acquisition, analyse et restauration sont des prestations distinctes. L’examen ne garantit ni chronologie complète ni issue déterminée d’une procédure.
Convenir d’une question exploitable
Précisez collecte de traces, analyse de copies ou vérification d’un rapport. Demander de tout trouver laisse effort et résultat indéfinis. Indiquez période et question de façon factuelle.
Une attaque active peut nécessiter une réponse parallèle. L’investigation seule ne rétablit pas le fonctionnement. Préservation, sécurité et exploitation doivent être coordonnées.
Définir sources et limites avant l’examen
Ordinateurs, serveurs, mobiles, cloud et journaux fournissent des traces différentes. Accès, conservation, chiffrement et modifications antérieures influencent l’examen. Un rapport détaillé ne remplace pas une source absente.
| Source | Préciser le mandat |
|---|---|
| Appareil / support | Nombre, type, état et collecte possible |
| Cloud / compte | Autorisation, exports et conservation |
| Journaux / copies | Période, provenance et volume |
| Rapport existant | Question de vérification et bases disponibles |
Préparer l’acquisition avec une personne qualifiée
Réinstallation, nettoyage ou utilisation non coordonnés peuvent modifier des traces. Évitez les interventions improvisées et demandez rapidement une instruction qualifiée. Aucun ordre universel d’allumer ou éteindre ne convient à tous les appareils.
La méthode dépend des données volatiles et de l’état technique. Interventions et changements inévitables doivent être documentés. Une sauvegarde ordinaire n’est pas automatiquement une image forensique adaptée.
Définir autorité et transfert confidentiel
Avant l’accès, clarifiez autorité du mandant, données autorisées et rôles. Des droits contestés ou une procédure nécessitent une coordination juridique adaptée. La demande n’autorise pas l’examen de comptes de tiers.
Convenez de transfert sécurisé, accès restreint, conservation et restitution ou suppression. Les données de personnes non concernées ne doivent pas être incluses sans finalité. Aucun mot de passe, nom de personne ou fichier probatoire dans la première demande.
Exiger un rapport explicable
Le rapport doit relier question, sources examinées, méthodes, constatations et limites. Horaires et fuseaux doivent être compréhensibles. Distinguez observation et conclusion.
Convenez d’une présentation, de la langue du rapport et d’éventuelles explications supplémentaires. La documentation améliore la traçabilité sans garantir recevabilité judiciaire ni identification d’une personne.
Comparer acquisition, analyse et suites séparément
L’effort dépend du nombre de sources, volume, état, chiffrement, période et question. Supports endommagés ou accès cloud complexes peuvent exiger un travail spécifique. Le nombre d’appareils seul ne définit pas une analyse comparable.
Précisez étapes, limites d’effort et approbation des suppléments. Déplacement, stockage, analyse approfondie, rapport et explications doivent être visibles. Un prix initial sans périmètre d’analyse ne suffit pas.
| Poste | Délimiter l’offre |
|---|---|
| Évaluation initiale | Question, sources et faisabilité |
| Acquisition | Collecte, obstacles et documentation |
| Analyse | Période, recherche et question convenue |
| Rapport | Constatations, limites et présentation |
| Suppléments | Restauration, réponse à incident ou procédure |
Préparer demande et transfert organisé
La sélection initiale nécessite prestation, types de sources, nombres connus, stade et urgence. Décrivez la question dans le champ commun sans contenu sensible. L’inventaire détaillé sera transmis ensuite de manière sécurisée.
Commencez par un mandat délimité. Après évaluation, vérifiez si d’autres sources sont nécessaires. Résultats, questions ouvertes, conservation et restitution doivent être remis de façon compréhensible.
Questions fréquentes
Est-ce de la récupération de données ?
Non. L’investigation répond à des questions à partir de traces. La récupération vise des données utilisables et peut être séparée.
Faut-il éteindre l’appareil suspect ?
Faites évaluer son état concret. Une instruction générale peut faire perdre des données volatiles ou accessibles.
Des copies existantes suffisent-elles ?
Selon question, provenance et complétude. Leur pertinence et les limites doivent être vérifiées.
Une chronologie complète est-elle garantie ?
Non. Données absentes, modifiées ou non conservées peuvent laisser des lacunes à documenter.
Un compte cloud peut-il être examiné ?
Avec autorité clarifiée et données réellement disponibles. Exports, journaux et conservation varient.
Que fournir dans la première demande ?
Types, nombres, tâche et urgence. Aucun accès secret, fichier probatoire ou nom de personne.
