Chaîne de conservation de la preuve (chain of custody)

La chaîne de conservation de la preuve est la suite documentée des gestes qui saisissent, copient, hachent et stockent les preuves numériques d'un incident, pour qu'elles tiennent devant le juge comme devant l'assureur. Le 26 mai 2020, un juge fédéral du district est de la Virginie ordonne à Capital One de remettre aux demandeurs le rapport d'investigation rédigé par Mandiant après la fuite de 2019, et le juge de district confirme le 25 juin. Le rapport avait été commandé sous un contrat antérieur et diffusé bien au-delà des avocats : il devenait une pièce du procès, et chaque constat qu'il portait pouvait être contesté sur sa source. Une preuve numérique ne vaut que par sa chaîne de conservation (chain of custody) : qui a saisi quel support, quand, avec quel outil, où il a été stocké, qui l'a ouvert ensuite. La norme ISO/IEC 27037, publiée en octobre 2012 et confirmée en 2018, en décrit les étapes : identification, collecte, acquisition, préservation. Sur le terrain, cela donne une image disque bit à bit prise derrière un bloqueur d'écriture, une capture de la mémoire vive avant extinction, et une empreinte SHA-256 (Secure Hash Algorithm) calculée à l'acquisition puis recalculée à chaque copie. S'y ajoutent l'export des journaux du pare-feu, de l'annuaire et de l'EDR (Endpoint Detection and Response) vers un stockage en écriture unique, et un registre de transfert signé. En dépendent la plainte, que l'article L. 12-10-1 du code des assurances exige dans les 72 heures pour toucher l'indemnité, le recours contre un infogérant fautif et la preuve du sinistre : l'assureur doit pouvoir dater l'intrusion par rapport à la date de reprise du passé et vérifier qu'aucune exclusion ne joue. Le conflit classique survient le premier jour, quand l'équipe informatique réinstalle les serveurs pour redémarrer et que les journaux partent avec eux. Le temps de présence ne se mesure plus, l'étendue de l'exfiltration non plus, et la notification se fait sur le pire scénario. La préservation se paie sur les frais d'investigation ; ce qui se négocie, c'est la rédaction de l'obligation de préserver, que l'assuré veut en moyens et l'assureur en résultat.