eDiscovery ou forensique ? Où se situe la différence et pourquoi elle compte pour votre dossier

Les mêmes données, d’autres questions

L’ordinateur portable d’un collaborateur qui a quitté l’entreprise, sa boîte Exchange, un canal Teams : au départ, les deux disciplines ont le même matériel sur la table. La différence tient à la question qu’on lui pose.

• L’eDiscovery demande : Que contiennent les données – et qu’est-ce qui est pertinent pour le dossier ?
• La forensique demande : Que s’est-il passé sur le système – qui a fait quoi et quand, et quelque chose a-t-il été dissimulé ou effacé ?

Confondre ces deux questions, c’est soit payer pour une profondeur dont on n’a pas besoin, soit découvrir trop tard que la trace décisive n’a jamais été sécurisée.

eDiscovery : de la masse de données au document pertinent

Le cadre de référence de l’eDiscovery est l’Electronic Discovery Reference Model (EDRM). Il décrit neuf phases, de l’information governance à l’identification, la conservation et la collecte, jusqu’au traitement, à la revue, à l’analyse, à la production et à la présentation [1]. Point important : l’EDRM se conçoit expressément comme un modèle conceptuel et non comme un déroulement figé. Des phases peuvent être omises, parcourues dans un autre ordre ou répétées [1].

Trois phases en forment le cœur :

• Le traitement (processing) réduit le volume de données et les met sous une forme qui peut être examinée [1].
• La revue évalue les documents quant à leur pertinence et à la présence de contenus protégés (privilege) [1].
• L’analyse exploite le contenu et le contexte – schémas, thèmes, personnes, fils de conversation [1].

Le résultat est un ensemble de documents examinés et codés : la base d’une production, d’une réponse à une autorité ou d’une chronologie solide des faits. L’eDiscovery travaille en largeur – de nombreux custodians, souvent des centaines de milliers, voire des millions de documents.

Forensique : reconstituer les événements

Selon la définition du National Institute of Standards and Technology (NIST) américain, la forensique numérique est l’application de méthodes scientifiques à l’identification, à la collecte, à l’examen et à l’analyse de données, tout en préservant leur intégrité [2]. Le NIST divise le processus en quatre phases : collecte, examen, analyse et rapport [2].

La forensique travaille en profondeur. Elle s’intéresse moins au contenu d’un document qu’aux traces qu’une action laisse derrière elle : fichiers effacés, espace non alloué, journaux système, périphériques USB connectés, artefacts de navigation et de synchronisation. Le résultat est un rapport comportant des constatations, une chronologie et une méthodologie traçable et reproductible – c’est-à-dire un document qui doit résister à l’examen de la partie adverse ou d’un tribunal.

Tout se joue lors de la conservation

Les deux disciplines commencent par la conservation – et c’est précisément là que se prend la décision la plus lourde de conséquences. Les EDRM Collection Standards distinguent notamment [3] :

• L’image forensique : une copie exacte, secteur par secteur, du support, qui saisit les données actives et inactives. Vérifiable au niveau de l’appareil et des fichiers, mais plus coûteuse.
• La collecte ciblée (targeted collection) : uniquement les fichiers et dossiers actifs du système de fichiers.
• La copie non forensique : copie via le système d’exploitation. Fortement dépendante des custodians ; les filtres appliqués lors de la collecte peuvent laisser échapper des fichiers.

L’EDRM recommande en outre de faire analyser une image forensique par un examinateur qualifié, habitué aux tribunaux, dans le cadre d’une analyse forensique [3].

D’où une règle simple : une collecte ciblée suffit pour l’eDiscovery – mais elle exclut la forensique a posteriori. Ce qui n’a pas été sécurisé ne peut pas être analysé. Une fois l’ordinateur réinstallé et remis à la personne suivante, les traces ont disparu.

La différence en un coup d’œil

Quand il vous faut quoi

L’eDiscovery, lorsqu’il s’agit de contenus : demandes de production dans une procédure civile, demandes de renseignements d’autorités de surveillance, enquêtes internes pour soupçon de corruption ou de manquement à la compliance, où la communication elle-même constitue la preuve.

La forensique, lorsqu’il s’agit d’actions : soupçon de fuite de données par USB ou cloud, soupçon d’effacement ou de manipulation, doutes sur l’authenticité d’un document, cyberincidents.

Les deux, lorsque contenu et action vont de pair – ce qui est plus fréquent qu’on ne le pense. Exemple typique : le soupçon qu’un collaborateur ayant quitté l’entreprise a emporté des secrets d’affaires. La forensique montre que des données de conception ont été copiées sur une clé USB la veille de sa démission. L’eDiscovery montre dans les e-mails avec qui il a parlé d’un changement de poste au cours des semaines précédentes. Ce n’est qu’ensemble qu’elles donnent une image qui tient.

Les disciplines s’enrichissent d’ailleurs mutuellement : noms de fichiers et horodatages issus de la forensique deviennent des mots-clés dans la revue ; des indices issus de la revue mènent à d’autres appareils qui doivent être examinés de manière forensique.

Le cadre juridique

Les modèles de référence proviennent du monde anglo-saxon ; au niveau international, la norme ISO/IEC 27037 les complète par des lignes directrices sur l’identification, la collecte et la conservation des preuves numériques [4]. Pour des enquêtes en Suisse, il convient en outre de tenir compte notamment de la loi sur la protection des données [5], du droit du travail figurant dans le Code des obligations [6] et – en cas de lien avec des procédures ou autorités étrangères – du Code pénal [7].

Savoir quelles exigences s’appliquent dans un cas concret et jusqu’où une collecte de données peut aller est une question juridique qui relève d’une étude d’avocats. Dans de tels mandats, nous travaillons en étroite collaboration avec le conseil juridique de nos clients.

Indépendamment de cela, une chose vaut pour les deux disciplines : la documentation complète de la chaîne de conservation (chain of custody) n’est pas un supplément, mais une condition de l’exploitabilité des preuves.

Conclusion : trois questions avant de commencer

1. S’agit-il de contenu ou d’action ? Le contenu plaide pour l’eDiscovery, l’action pour la forensique.
2. Quelqu’un pourrait-il contester que les données sont complètes et inchangées ? Il faut alors des méthodes forensiques – au moins pour la conservation.
3. Qui examinera le résultat ? Partie adverse, tribunal et autorité posent des exigences différentes en matière de méthode et de preuve.

Et si les réponses ne sont pas encore claires : sécuriser de manière forensique, analyser de manière ciblée. L’analyse peut toujours être approfondie. La conservation, elle, ne se rattrape pas.

Cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique. Pour l’appréciation juridique de votre cas, veuillez vous adresser à une étude d’avocats.

Sources

[1] EDRM (edrm.net) : EDRM Model – https://edrm.net/wiki/edrm-model/

[2] Kent, K. et al. : NIST Special Publication 800-86 – Guide to Integrating Forensic Techniques into Incident Response, National Institute of Standards and Technology, 2006 – https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

[3] EDRM (edrm.net) : EDRM Collection Standards – https://edrm.net/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/

[4] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html

[5] Loi fédérale sur la protection des données (LPD), RS 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/fr

[6] Code des obligations (CO), RS 220 – https://www.fedlex.admin.ch/eli/cc/27/317_321_377/fr

[7] Code pénal suisse (CP), RS 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/fr

Les contenus d’edrm.net sont publiés sous licence Creative Commons Attribution 4.0 International.