Chaîne de custody numérique

Définition

La chaîne de custody numérique, ou chaîne de conservation des preuves, est le processus documenté garantissant l'intégrité, la traçabilité et l'authenticité des preuves numériques collectées lors d'une investigation forensique, depuis leur acquisition jusqu'à leur présentation éventuelle devant une juridiction ou une autorité de régulation. Elle enregistre chaque manipulation d'une preuve : qui l'a collectée, quand, où, comment, avec quel outil, et qui y a eu accès par la suite. Concrètement, cela implique le calcul d'empreintes cryptographiques, par exemple via des fonctions de hachage SHA-256, sur les images disque ou les captures mémoire au moment de la collecte, afin de démontrer ultérieurement qu'aucune altération n'est intervenue. Les enquêteurs utilisent des registres de suivi détaillés, souvent accompagnés de scellés physiques pour les supports matériels, et des environnements d'analyse en lecture seule pour préserver les originaux. Une rupture dans la chaîne de custody, comme un accès non documenté ou une empreinte non concordante, peut invalider la valeur probante d'une preuve dans une procédure judiciaire ou une réclamation d'assurance cyber. Cette rigueur méthodologique s'appuie sur des normes internationales comme ISO/IEC 27037 relative à l'identification, la collecte et la préservation des preuves numériques. La chaîne de custody numérique est un élément critique de toute investigation post-incident, en particulier lorsque des poursuites pénales ou des actions civiles sont envisagées contre les auteurs d'une attaque.