Recherche de preuves informatiques : figer, constater, prouver

La recherche de preuves informatiques, aussi appelée investigation numérique ou computer forensics, consiste à collecter, préserver et analyser des données (fichiers, journaux, messageries, historique d’un poste) de façon à ce qu’elles puissent servir de preuve dans une procédure. Le mot important est « préserver » : une donnée informatique se modifie en la regardant, et un dossier se joue souvent dans les premières heures.

Le réflexe qui sauve le dossier : ne touchez à rien

Face à une suspicion (un commercial qui part avec le fichier clients, des documents qui circulent chez un concurrent, une fraude interne), la tentation naturelle est d’ouvrir le poste du collaborateur et de chercher soi-même. C’est la pire chose à faire, pour deux raisons.

Techniquement, chaque fichier ouvert voit ses métadonnées modifiées : dates d’accès, journaux, traces système. Ce que vous consultez, vous l’altérez. Juridiquement, une « preuve » recueillie en fouillant sans cadre peut être contestée, voire écartée, et la manœuvre peut se retourner contre l’employeur. La valeur d’une preuve informatique tient à la chaîne de conservation : qui a accédé à quoi, quand, et dans quelles conditions.

Les bons réflexes tiennent en quatre lignes : n’éteignez pas brutalement le poste et ne le réaffectez à personne, suspendez les accès sans rien supprimer, ne restaurez aucune sauvegarde par-dessus l’existant, notez la chronologie des faits. Puis appelez-nous.

Les situations où l’investigation s’impose

• Départ d’un collaborateur avec suspicion d’exfiltration : fichier clients, devis, données techniques copiés vers un support USB, un cloud personnel ou une messagerie privée.
• Concurrence déloyale : des informations internes qui se retrouvent chez un concurrent, avant ou après un départ.
• Fraude ou malversation interne : manipulations comptables, détournements, faux documents.
• Litige prud’homal où l’usage du matériel professionnel est en cause.
• Suspicion d’intrusion ciblée ou d’espionnage, quand il faut établir ce qui a été consulté et emporté.

Qui fait quoi : ITAIA, l’expert, le commissaire de justice

Le déroulé est balisé, et chaque rôle compte.

1. ITAIA fige et préserve. Nous mettons la situation sous conservation sans la polluer : poste isolé et non réaffecté, comptes suspendus, journaux et sauvegardes préservés en l’état. Comme prestataire de votre informatique, nous détenons la matière (historique, journaux, cartographie des accès) et nous la tenons prête pour l’analyse.
2. Ontrack (KLDiscovery) est mandaté, par vous directement ou par nous en votre nom. Ce laboratoire, notre partenaire de longue date, est spécialisé dans l’investigation numérique et dispose des outils d’analyse et des salles blanches nécessaires.
3. Le laboratoire envoie son expert, qui mandate un commissaire de justice (l’officier ministériel qui a succédé à l’huissier). Le constat fige officiellement la situation : c’est lui qui donne aux éléments recueillis leur force probante devant un juge.
4. L’expert analyse : copie forensique des supports (le poste original n’est plus touché), reconstitution de la chronologie, recherche des exfiltrations et des suppressions, rapport d’expertise exploitable en procédure.

Vous l’aurez noté : nous ne menons pas l’analyse nous-mêmes, et c’est volontaire. Celui qui exploite votre système au quotidien ne peut pas être celui qui expertise, la même logique d’indépendance que nous appliquons à l’audit et à l’analyse de risques. Notre rôle est de faire en sorte que l’expert trouve une situation intacte et une matière complète.

Ce que l’analyse peut établir

• La copie de fichiers vers un support externe, un cloud personnel ou une messagerie privée, avec l’horodatage.
• Les suppressions et les tentatives de dissimulation, souvent plus parlantes que les fichiers eux-mêmes.
• La chronologie d’usage d’un poste : connexions, documents ouverts, périphériques branchés.
• Les échanges pertinents sur les messageries professionnelles, dans le respect du cadre légal sur les contenus personnels.
• La reconstitution de données effacées, y compris sur des supports endommagés (c’est le même laboratoire que pour la récupération de données).

Un mot sur le cadre : votre avocat pilote

La recevabilité d’une preuve dépend de conditions juridiques précises (loyauté de la preuve, respect de la vie privée du salarié, contenus marqués personnels) qui relèvent de votre avocat, pas de votre prestataire informatique. Nous ne donnons pas de conseil juridique : nous travaillons main dans la main avec votre conseil, et le trio expert, commissaire de justice, avocat est précisément ce qui rend le dossier solide. Si vous n’avez pas encore d’avocat sur le sujet, parlez-en lors du premier échange.

Récupérer, prouver, effacer : un même partenaire, trois situations

L’investigation numérique est l’un des trois volets de notre partenariat avec Ontrack (KLDiscovery), avec la récupération de données quand un support lâche, et l’effacement certifié des données quand un matériel quitte le parc. Trois situations différentes, une même chaîne de confiance sur la donnée.

Vos questions sur la recherche de preuves

Que faire immédiatement en cas de suspicion ?

Ne fouillez pas le poste, ne le réaffectez pas, n’effacez et ne restaurez rien. Suspendez les accès de la personne concernée sans supprimer les comptes, notez la chronologie des faits, et contactez-nous : la mise sous conservation se fait en quelques heures, et c’est elle qui préserve toutes les options.

Qui mandate qui ?

Vous (ou nous, en votre nom) mandatez le laboratoire Ontrack. Le laboratoire missionne son expert, et c’est l’expert qui fait intervenir un commissaire de justice pour constater et figer la situation. Vous gardez un interlocuteur unique : nous.

Les preuves sont-elles recevables aux prud’hommes ou au pénal ?

C’est tout l’enjeu du dispositif : constat d’un officier ministériel, copie forensique, chaîne de conservation documentée et rapport d’expert donnent aux éléments leur force probante. La recevabilité finale dépend des circonstances et se plaide : c’est le travail de votre avocat, avec qui l’expert et nous travaillons de concert.

Pouvez-vous analyser un téléphone ou une tablette professionnels ?

Oui, l’investigation couvre les postes, serveurs, téléphones, tablettes et supports amovibles, dans le respect du cadre légal, notamment sur les contenus personnels d’un salarié, qui bénéficient d’une protection particulière.

Combien de temps cela prend-il ?

La mise sous conservation est une affaire d’heures ; le constat s’organise en quelques jours ; la durée de l’analyse dépend ensuite du volume de données et du périmètre. L’urgence réelle est au début : plus la situation est figée tôt, moins il y a de traces perdues.

Une suspicion en cours ?

N’éteignez rien, ne fouillez rien, et contactez-nous : nous mettons la situation sous conservation et nous déclenchons le dispositif avec le laboratoire. Un créneau de 30 minutes suffit pour cadrer la marche à suivre.

À lire aussi : Récupération de données à Paris, Effacement certifié des données, Gestion de crise cyber, Cybersécurité managée, FAQ & glossaire.