Un rapport d'investigation numérique est le document le plus décisif d'un sinistre cyber et le plus mal lu. Il est écrit par des techniciens pour des techniciens, dans un registre de probabilité et de faisceau, et il est ensuite employé par des juristes et des souscripteurs dans un registre de preuve et de qualification. Entre les deux se perd une distinction que ce module existe pour rétablir : ce qu'un rapport établit, ce qu'il suppose, et ce qu'il n'a pas cherché. Une exclusion de cyber-guerre qui se déclenche sur une attribution étatique dépend entièrement de cette lecture.
Il faut d'abord comprendre ce qu'un investigateur observe réellement, car ce n'est jamais un acteur. Il observe des artefacts : des adresses de commande et de contrôle, des empreintes de fichiers, des horodatages, des chaînes de caractères dans un binaire, des habitudes d'exploitation qu'on appelle des modes opératoires. De ces traces, il rapproche un ensemble déjà décrit par d'autres, auquel la communauté a donné un nom. Ce rapprochement est une classification, pas une identification : dire qu'une intrusion ressemble à celles d'un ensemble connu ne dit pas qui a tapé les commandes, et l'écart entre les deux est exactement l'endroit où les contrats se disputent.
Trois niveaux se superposent dans ce que l'on appelle l'attribution, et les confondre est la faute centrale. L'attribution technique rattache une intrusion à un ensemble d'outils et de méthodes ; elle est du ressort de l'investigateur et se documente. L'attribution à un groupe nommé rattache cet ensemble à une organisation supposée ; elle relève du renseignement privé et repose sur des sources que le rapport ne montre pas. L'attribution étatique, enfin, dit qu'un État est responsable ; elle est un acte politique, prononcé par un gouvernement, souvent des mois après, et parfois jamais. Un rapport technique ne produit jamais le troisième niveau, et beaucoup de clauses en dépendent.
Il faut ensuite savoir lire le vocabulaire de confiance que ces rapports emploient, parce qu'il est normé et qu'il dit exactement ce qu'il veut dire. Une conclusion avec un haut degré de confiance repose sur des preuves convergentes de plusieurs natures ; une confiance moyenne signale des éléments cohérents mais insuffisants pour exclure d'autres hypothèses ; une confiance faible marque une hypothèse plausible et non étayée. La formule qui pose le plus de problèmes est celle d'un acteur probablement étatique ou lié à un État : elle est honnête techniquement et elle ne tranche rien juridiquement, puisque probablement n'est pas un constat et que lié à n'est pas un rattachement.
Vient alors la question qui décide de dossiers entiers : que fait un assureur de cette phrase. Tout dépend de la rédaction de l'exclusion, et il faut la lire avant le sinistre. Une clause qui subordonne l'exclusion à une attribution officielle par un gouvernement ne joue pas sur un rapport technique, si probant soit-il, et l'assureur qui l'invoque sur cette base sort de son propre texte. Une clause qui laisse l'appréciation à l'assureur, à partir de tout élément raisonnablement disponible, transforme au contraire le rapport en pièce déterminante. La même intrusion, le même rapport, deux polices, deux issues opposées.
Il faut ajouter ce que le rapport n'a pas cherché, qui est souvent aussi important que ce qu'il a trouvé. Une investigation est bornée par un périmètre et un budget : elle porte sur les systèmes qu'on lui a désignés, sur la période dont les journaux existent encore, et elle s'arrête quand la question posée reçoit une réponse. Un rapport qui ne mentionne pas d'exfiltration ne prouve pas qu'il n'y en a pas eu, il dit que la question n'a pas été tranchée sur ce périmètre. Cette nuance décide de l'obligation de notification, de l'exposition en responsabilité, et de la sincérité de ce qu'on déclare à une autorité.
La méthode de lecture tient donc en quatre questions, posées dans cet ordre et à chaque rapport. Quel est le périmètre examiné et sur quelle profondeur de journaux. Quel niveau d'attribution est atteint, technique, groupe nommé, ou étatique. Quel vocabulaire de confiance porte chaque conclusion, et sur quelles preuves. Et quelles questions n'ont pas été posées, notamment celle de l'exfiltration. Un rapport lu ainsi sert à qualifier ; un rapport lu pour sa conclusion sert à se tromper avec assurance.
Un industriel subit un chiffrement de ses systèmes de production le 3 mai ; la charge atteint 12 millions d'euros, dont 9 de perte d'exploitation. Le rapport d'investigation, remis le 20 juin, conclut avec un degré de confiance moyen que l'intrusion est attribuable à un ensemble d'outils et de méthodes documenté par plusieurs éditeurs, et ajoute que cet ensemble est « probablement lié à un acteur étatique ». Le rapport précise que le périmètre examiné couvrait les serveurs de production et les journaux des soixante derniers jours, et qu'il n'a pas recherché d'exfiltration. La police exclut les actes de guerre et les actes hostiles d'un État ou d'un acteur agissant pour son compte. L'assureur invoque l'exclusion. Que faut-il lui répondre ?
La position de l'assureur repose sur une phrase que le rapport n'a pas écrite, et il faut le montrer plutôt que le plaider. Trois niveaux d'attribution se superposent et le rapport n'atteint que le premier : il rattache l'intrusion à un ensemble d'outils et de méthodes, ce qui est une classification technique et non une identification. Le deuxième niveau, le rattachement à un groupe nommé, relève du renseignement privé, et le troisième, l'attribution étatique, est un acte politique prononcé par un gouvernement, que le rapport ne produit pas et ne prétend pas produire. Le vocabulaire le dit d'ailleurs deux fois : un degré de confiance moyen signale des éléments cohérents mais insuffisants pour exclure d'autres hypothèses, et la formule probablement lié à un acteur étatique est honnête techniquement sans rien trancher juridiquement, puisque probablement n'est pas un constat et lié à n'est pas un rattachement. Tout dépend ensuite de la rédaction : si l'exclusion vise un acte hostile d'un État ou d'un acteur agissant pour son compte sans subordonner l'exclusion à une attribution officielle, l'assureur peut apprécier lui-même, et le débat porte alors sur le poids d'une confiance moyenne, non sur son existence. Un point à ne pas négliger joue en sens inverse et l'assuré doit le voir avant l'assureur : le rapport n'a pas recherché d'exfiltration, si bien qu'il ne prouve pas qu'il n'y en a pas eu. Cette absence de réponse touche l'obligation de notification et l'exposition en responsabilité, et elle appelle une investigation complémentaire sur un périmètre élargi, tant que les journaux de plus de soixante jours existent encore quelque part.
- 01Un investigateur observe des artefacts, jamais un acteur : rapprocher une intrusion d'un ensemble connu est une classification, pas une identification.
- 02Trois niveaux se superposent, technique, groupe nommé, étatique, et un rapport technique ne produit jamais le troisième.
- 03Le vocabulaire de confiance est normé : « probablement lié à » est honnête techniquement et ne tranche rien juridiquement.
- 04Une exclusion qui exige une attribution officielle ne joue pas sur un rapport technique ; une exclusion qui laisse l'appréciation à l'assureur en fait la pièce décisive.
- 05Un rapport qui ne mentionne pas d'exfiltration ne prouve pas qu'il n'y en a pas eu : il dit que la question n'a pas été posée sur ce périmètre.