Préservation des traces et preuves numériques

Comprendre l’enjeu et le périmètre

Elle évite de perdre des informations utiles pendant les actions de diagnostic et de rétablissement.

Couvrir journaux, images, fichiers, configurations, horodatages, supports, personnes intervenantes et conditions de collecte.

Passer à l’action

• Identifier les éléments utiles sans collecte indiscriminée
• Confier les opérations sensibles à des personnes compétentes
• Tracer conservation, accès et transformations

Ouvrez une chronologie horodatée et attribuez la coordination. Séparez les faits, les hypothèses et les décisions. Prévoyez un canal de secours et un passage de relais : la personne qui investigue ne peut pas toujours coordonner les métiers et informer la direction en même temps.

Responsabilités et moyens

Le responsable d’incident coordonne, les spécialistes collectent, le juridique qualifie les besoins de preuve, et sécurité protège les accès.

Prévoir expertise, supports, stockage protégé et temps de traitement.

Produire et vérifier

Livrable utile

Un registre de collecte et des éléments conservés dans des conditions documentées.

Preuve à rechercher

Vérifier qu’un élément collecté peut être relié à sa source, sa date, son responsable et aux opérations subies.

Indicateur à interpréter

Suivre sources perdues, lacunes de chronologie et manipulations non documentées.

Avant de fermer l'incident, obtenez une validation du service rendu et définissez la surveillance renforcée nécessaire. Le retour à la normale ne prouve pas que la cause est supprimée. Suivez les actions de fond dans un dispositif distinct de la gestion de l'urgence.

Arbitrages et dépendances

Un redémarrage ou nettoyage peut détruire des traces volatiles importantes avant leur examen.

La preuve dépend des horloges, journaux, droits, outils et conditions de collecte.

Arbitrez entre protection, poursuite d'activité et conservation des traces avec les responsables compétents. Une coupure peut limiter un incident tout en empêchant un service essentiel. Comme les obligations de notification dépendent du contexte, faites qualifier le cas et ses délais par les fonctions concernées.