Comment préserver les preuves numériques : garantir l'intégrité, la provenance et la chaîne de conservation

Dans tous les processus, le point commun que vous constaterez est la manière dont une personne doit établir un fait, défendre une conclusion ou démontrer qu’une procédure obligatoire a été respectée, en s’appuyant sur des documents comme preuves. Cela renvoie aux concepts de preuve, de conservation des preuves et de valeur probante.

Il s'agit dans tous les cas de processus fondés sur des preuves, dans le cadre desquels les entreprises doivent reconstituer les événements, établir les responsabilités, démontrer que les obligations ou les contrôles ont été respectés, et fournir des preuves solides à un décideur interne ou externe.

Les conséquences d'une conservation insuffisante sont bien réelles. En septembre 2022, la Commission américaine des valeurs mobilières (SEC) a annoncé des mesures coercitives à l'encontre de 16 sociétés de Wall Street en raison de manquements généralisés à leurs obligations d'entretien et de conservation des communications électroniques. Les entreprises ont accepté de verser plus de $1,1 milliard d'amendes au total. La SEC a déclaré que ces manquements avaient privé ses enquêteurs de communications qui auraient dû être mises à leur disposition dans le cadre des enquêtes réglementaires.

En 2023, 11 autres entreprises ont été poursuivies pour ne pas avoir assuré la conservation et la préservation de leurs communications électroniques ; celles-ci ont accepté de verser une somme totale de $289 millions d'amendes. La SEC a qualifié ces manquements d'infractions aux obligations de conservation des documents prévues par la législation fédérale sur les valeurs mobilières et a de nouveau souligné l'importance de conserver les communications électroniques à des fins de surveillance réglementaire et d'enquêtes.

Et les risques ne se limitent pas à la conservation des documents à des fins réglementaires. Au Royaume-Uni, la Haute Cour a déclaré Raymond McKeeve coupable d’outrage au tribunal après la destruction de documents électroniques alors que des obligations de conservation s’appliquaient. La Cour a ensuite infligé une une amende de 25 000 livres sterling et a rendu des ordonnances importantes en matière de frais. La société Ocado a indiqué que son les frais de justice s'élevaient à environ 1,1 million de livres sterling. M. McKeeve, la personne concernée, a engagé environ 615 000 livres sterling de frais de défense.

La gestion des archives et la conservation des preuves numériques sont étroitement liées. La gestion des archives permet de conserver des documents fiables au sein de l'organisation ; la conservation des preuves protège les informations qui pourraient s'avérer nécessaires ultérieurement pour établir ce qui s'est passé.

La leçon à retenir est simple : ne vous contentez pas de conserver les informations numériques, préservez-les afin de pouvoir prouver leur authenticité et leur fiabilité lorsque cela s'avère nécessaire.

L'objectif d'une procédure opérationnelle standard (SOP) relative à la conservation des éléments de preuve au sein d'une entreprise est de définir un ensemble restreint de mesures obligatoires visant à protéger l'intégrité, l'authenticité, la traçabilité et la reproductibilité des éléments de preuve, depuis leur identification jusqu'à leur présentation ou leur destruction définitive. Les trois principales sources d'orientation utilisées pour élaborer cette SOP, et que vous pouvez consulter pour élaborer la vôtre, sont les suivantes :

• ISO/IEC 27037:2012 Technologies de l'information - Techniques de sécurité - Lignes directrices pour l'identification, la collecte, l'acquisition et la conservation des preuves numériques ;
• ’ Groupe de travail scientifique sur les preuves numériques » (SWGDE) Bonnes pratiques en matière de collecte de preuves numériques (et 17-F-002-2.1, 18-F-002-2.0, 21-F-001-1.1, 23-F-004-1.1) ;
• NIST SP 800-86’ Guide sur l'intégration des techniques de criminalistique dans la gestion des incidents » et NIST IR 8387 Conservation des preuves numériques – Considérations à l'intention des personnes chargées du traitement des preuves.

Votre règle d'or devrait être la suivante : Ne modifiez jamais ce que vous ne pouvez pas remplacer ; ne transférez jamais ce que vous ne pouvez pas retracer ; ne vous fiez jamais à des éléments de preuve dont vous ne pouvez pas vérifier l'intégrité..

Ces recommandations ne visent pas à se substituer aux procédures médico-légales spécialisées. Le SWGDE précise expressément que ses documents relatifs aux meilleures pratiques ne constituent pas des manuels de formation, ne sont pas exhaustifs et peuvent ne pas s’appliquer à toutes les situations. Lorsqu’une situation nécessite de s’écarter de ces recommandations, cet écart ainsi que les mesures prises doivent être minutieusement consignés.

Chaque transfert de preuve doit pouvoir être rattaché à un identifiant unique et doit indiquer, au minimum, qui l’a transféré, qui l’a reçu, quand le transfert a eu lieu et pourquoi il a eu lieu. La norme SWGDE 17-F-002 identifie explicitement ces éléments comme constituant les informations minimales relatives à la chaîne de conservation pour les transferts de preuves numériques. L’objectif n’est pas la complexité bureaucratique, mais la continuité. À tout moment, l’organisation doit être en mesure de répondre aux questions suivantes :

• Où sont les preuves ?
• Qui a la garde ?
• Quand la garde a-t-elle été modifiée ?
• Pourquoi cela a-t-il changé ?
• Son intégrité a-t-elle été vérifiée ?

Si l'on ne peut pas répondre à ces questions, cela signifie que le processus de gestion des éléments de preuve présente une lacune en matière de traçabilité.

Il convient de noter que la force d’une procédure opérationnelle standard (SOP) réside dans le fait que les contrôles restent stables tandis que la mise en œuvre gagne en sophistication. Une petite organisation peut utiliser un registre des éléments de preuve contrôlé, des formulaires d’acquisition standardisés, un hachage cryptographique, un stockage chiffré et des transferts de garde documentés. Une entreprise plus importante peut progressivement ajouter un contrôle d’accès basé sur les rôles, des référentiels d’éléments de preuve immuables ou protégés en écriture, une vérification automatisée des hachages, des journaux d’audit inviolables, etc. L’important est que ces capacités étendre les commandes d'origine, plutôt que de les remplacer.

Consultez le cadre de référence pour découvrir l'ensemble du contenu ainsi que d'autres cas d'utilisation spécifiques susceptibles de mieux correspondre à votre propre flux de travail.

Avant de vous lancer, il est également important de prendre en compte les difficultés courantes auxquelles vous pourriez être confronté, même si un plan a déjà été mis en place.

L'objectif est toujours de relever ces défis et de transformer intégrer les preuves numériques dans un dossier que l'entreprise peut vérifier, expliquer et défendre.

Dans le processus de conservation des preuves, nous intervenons au cours des étapes “ Fingerprint ” et “ Verify ” : création d'un hachage cryptographique du document conservé, enregistrement sécurisé de ce hachage à un moment précis, puis vérification ultérieure que le document correspond toujours. Connecting Software’s Truth Enforcer répond à cette exigence spécifique : elle génère une empreinte cryptographique d'un fichier et l'enregistre dans un registre blockchain immuable, ce qui permet de vérifier ultérieurement si le fichier a subi des modifications sans que le document sous-jacent ne quitte le contrôle de l'organisation.

Truth Enforcer pourrait offrir un contrôle d'intégrité distinct au sein de ces flux de travail : déterminer puis vérifier l'état d'un enregistrement.