Ordinateurs et postes
Postes Windows, macOS ou Linux, profils utilisateurs, fichiers, historiques et artefacts système. Ils peuvent aider à reconstituer des usages, des accès, des copies de fichiers ou des actions réalisées sur une période donnée.
Périmètre technique
Identifier les supports utiles, les traces pertinentes et les limites d'analyse.
Dans un dossier numérique, la question n'est pas seulement de savoir quel support existe, mais ce qu'il peut réellement démontrer. L'analyse commence par la qualification des sources disponibles, de leur contexte, de leur état et de leur intérêt pour la question posée.
Supports
Des équipements variés, mais une même exigence de méthode.
Téléphones et tablettes
Terminaux mobiles, sauvegardes, conversations, fichiers, métadonnées et applications. Ils peuvent éclairer des échanges, déplacements, photos, suppressions, synchronisations ou interactions avec des services en ligne.
Supports amovibles
Clés USB, cartes mémoire, disques externes et sauvegardes locales. Ils peuvent indiquer des copies, exports, transferts, versions de fichiers ou éléments conservés en dehors du poste principal.
Comptes et messageries
Comptes utilisateurs, messageries, espaces partagés, traces de connexion et paramètres. Ils peuvent aider à comprendre qui a accédé à quoi, quand, depuis quel environnement et avec quelles règles de transfert ou de partage.
Applications métier
Logiciels internes, exports, journaux, bases accessibles et historiques. Ils peuvent relier des actions métier à des comptes, des dates, des décisions, des commandes, des dossiers ou des modifications contestées.
Journaux et systèmes
Logs, serveurs, équipements réseau, traces d'accès et événements de sécurité. Ils peuvent confirmer une connexion, une erreur, une intrusion, un flux ou une incohérence dans une chronologie.
Questions techniques
Ce que l'analyse cherche à éclairer.
Qui a pu agir ?
Compte utilisé, session ouverte, droits disponibles, adresse de connexion, appareil concerné et cohérence avec les usages connus.
Quand les faits ont-ils eu lieu ?
Horodatages, journaux, métadonnées, synchronisations, sauvegardes et indices permettant de bâtir ou de contester une chronologie.
Quelles données sont concernées ?
Fichiers, messages, exports, bases, documents, pièces jointes, dossiers ou éléments applicatifs liés à la question posée.
Y a-t-il eu copie ou transfert ?
Supports amovibles, téléchargements, partages, envois, synchronisations, archives, historiques et traces d'accès à des espaces distants.
Que peut-on affirmer ?
Différencier un constat technique robuste, une hypothèse raisonnable, une limite d'analyse et un point qui demande des éléments complémentaires.
Quelles sont les limites ?
Chiffrement, absence de journaux, suppression, accès incomplets, données hébergées chez un tiers ou contexte humain insuffisant.
Méthode
Qualifier avant d'extraire, expliquer avant de conclure.
Inventorier
Identifier les sources disponibles, les accès, l'état des supports et leur lien avec le dossier.
Préserver
Limiter les manipulations inutiles, documenter les actions et préserver ce qui doit l'être.
Analyser
Rechercher les traces pertinentes, les chronologies, les incohérences et les éléments exploitables.
Restituer
Présenter ce qui est établi, probable, incertain ou hors périmètre, dans un langage compréhensible.
Limites
Un support numérique ne parle jamais seul.
Contexte et prudence
Une trace doit être replacée dans son contexte : horodatage, compte utilisé, configuration, droits d'accès, synchronisation, sauvegardes et actions humaines ou automatisées possibles.
Restitution exploitable
Le rapport doit aider à décider ou à débattre : il distingue les constats techniques, les hypothèses, les limites d'analyse et les points qui nécessitent des éléments complémentaires.