Organiser la mise en œuvre
Séparer faits, hypothèses, décisions et actions, conserver une chronologie et une autorité de décision même lorsque les outils habituels sont indisponibles.
L’empreinte d’un fichier ne démontre pas seule son origine ou sa valeur juridique. Documenter toute la chaîne de collecte et de conservation.
Couvrir journaux, images, fichiers, configurations, horodatages, supports, personnes intervenantes et conditions de collecte.
Le responsable d’incident coordonne, les spécialistes collectent, le juridique qualifie les besoins de preuve, et sécurité protège les accès.
Un registre de collecte et des éléments conservés dans des conditions documentées.
Application à votre contexte
Les trois actions proposées ci-dessous constituent un point de départ. Validez les résultats avec leurs utilisateurs et ajustez le niveau de détail avant d'étendre la démarche.
Ouvrez une chronologie horodatée et attribuez la coordination. Séparez les faits, les hypothèses et les décisions. Prévoyez un canal de secours et un passage de relais : la personne qui investigue ne peut pas toujours coordonner les métiers et informer la direction en même temps.
Trois actions de départ
- Identifier les éléments utiles sans collecte indiscriminée
- Confier les opérations sensibles à des personnes compétentes
- Tracer conservation, accès et transformations