Norme ISO/CEI 27037 Technologies de l'information - Techniques de sécurité - Identification, collecte, acquisition et préservation des preuves numériques

La norme ISO/CEI 27037 « Technologies de l’information – Techniques de sécurité – Lignes directrices pour l’identification, la collecte, l’acquisition et la conservation des preuves numériques », publiée par l’Organisation internationale de normalisation (ISO), fournit des lignes directrices pour des activités spécifiques liées au traitement des preuves numériques. Ces activités comprennent l’identification, la collecte, l’acquisition et la conservation des preuves numériques susceptibles d’avoir une valeur probante. Cette norme guide les personnes confrontées à des situations courantes lors du traitement des preuves numériques et aide les organisations à faciliter l’échange de preuves numériques potentielles dans le cadre de procédures disciplinaires et entre juridictions.

Cette norme fournit des lignes directrices pour les dispositifs ou fonctions suivants utilisés dans diverses situations :

• Les supports de stockage numérique utilisés dans les ordinateurs standard, tels que les disques durs, les disquettes, les disques optiques et magnéto-optiques, sont des dispositifs de données aux fonctions similaires.
• Téléphones portables, assistants numériques personnels, appareils électroniques personnels (AEP), cartes mémoire.
• Systèmes de navigation mobile.
• Appareils photo numériques et caméras vidéo (y compris la vidéosurveillance).
• Ordinateurs standard connectés au réseau.
• Réseaux basés sur TCP/IP et autres protocoles numériques.
• Appareils aux fonctions similaires à ceux énumérés.

Cette liste d'appareils est donnée à titre indicatif et n'est pas exhaustive. Les appareils mentionnés ci-dessus existent sous diverses formes. Par exemple, un système automobile peut comprendre un système de navigation mobile, un système de stockage de données et un système de capteurs.

La norme ISO/CEI 27037 fait partie de la famille de normes ISO/CEI 27000, plus vaste, relative aux systèmes de gestion de la sécurité de l'information. Elle se concentre plus particulièrement sur le traitement initial des preuves numériques dans le cadre de l'investigation numérique et de la découverte électronique. Cette norme s'adresse principalement aux intervenants de première ligne, aux experts en criminalistique numérique, aux forces de l'ordre, aux équipes d'intervention en cas d'incident et aux organisations susceptibles d'avoir besoin de collecter des preuves numériques potentielles de manière rigoureuse sur le plan de l'investigation numérique.

Dans le cadre d'enquêtes criminelles, d'enquêtes internes, de poursuites civiles ou de réponses à des incidents, une gestion inappropriée des preuves numériques peut entraîner les conséquences suivantes :

• Elle pourrait être jugée irrecevable devant les tribunaux.
• Il peut être contaminé ou altéré.
• Elle peut perdre sa valeur probante en raison d'une chaîne de possession défaillante.

La norme ISO IEC 27037 fournit un cadre mondialement accepté pour garantir l'intégrité, l'authenticité et la fiabilité des étapes initiales du processus de traitement des preuves, dès l'identification des preuves potentielles.

Cette norme aborde explicitement les quatre étapes fondamentales qui précèdent le début d'une analyse médico-légale approfondie :

• Identification : Déterminer quels appareils, données ou supports peuvent contenir des preuves numériques pertinentes.
• Collecte : Rassemblement des preuves potentielles sur les lieux du crime ou dans les environs.
• Acquisition : Création de copies ou d'images des données conformes aux normes médico-légales.
• Protection : Garantir que les preuves (originaux et copies) soient protégées contre toute altération et que la chaîne de possession soit correctement documentée.

Il est important de noter que la norme ISO IEC 27037 ne couvre pas l'analyse, l'examen ou la reconstruction des données en laboratoire (ces aspects sont traités dans des normes connexes telles que ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 et ISO IEC 27050).

La norme ISO IEC 27037 repose sur plusieurs principes fondamentaux :

• Honnêteté : Les preuves ne doivent être altérées d'aucune manière susceptible d'affecter leur crédibilité.
• Authenticité : Il doit être possible de prouver que les preuves sont conformes aux allégations.
• Répétabilité : Les processus doivent être reproductibles par une autre personne autorisée.
• Chaîne de possession : Chaque personne traitant les preuves et chaque action entreprise doivent être documentées.
• Minimiser l'impact : Dans la mesure du possible, recueillir des preuves sans perturber inutilement les opérations (particulièrement important dans les environnements d'entreprise en activité).
• Compétences : Le personnel doit être correctement formé et compétent.

La norme ISO IEC 27037 définit les différents rôles impliqués dans le processus de traitement initial des preuves :

• Premier intervenant en matière de preuves numériques : Il s’agit généralement de la première personne à arriver sur les lieux.
• Spécialiste des preuves numériques : Il s’agit d’une personne possédant des compétences techniques plus poussées et capable de réaliser le processus de collecte de données.
• Enquêteur/demandeur : La personne qui dirige l’enquête.

La norme ISO/CEI 27037 fournit des recommandations détaillées et des listes de contrôle pour les scénarios courants. Celles-ci incluent :

• Sécurisation et évaluation des lieux du crime.
• Identifier les sources potentielles de preuves numériques (ordinateurs, appareils mobiles, stockage en nuage, objets connectés, etc.).
• Prioriser la collecte de données probantes (données provisoires et permanentes).
• Manipulation correcte des dispositifs ouverts et fermés.
• L'utilisation de bloqueurs d'écriture pendant le processus d'acquisition.
• Générer des images forensiques (copies bit à bit) et calculer les valeurs de hachage cryptographiques.
• Étiquetage, emballage et transport des supports numériques.
• Modèles de documents (dossiers de preuves, formulaires de chaîne de possession).

La norme ISO/CEI 27037 est généralement utilisée par les organismes suivants :

• Les forces de l'ordre et les laboratoires médico-légaux d'État.
• Équipes d'intervention en cas d'incident et d'expertise numérique en entreprise.
• Prestataires de services juridiques privés.
• Les professionnels de la sécurité de l'information chargés de la gestion des incidents.
• Équipes juridiques gérant les opérations de découverte électronique.
• Toutes les organisations qui souhaitent être en mesure de collecter correctement les preuves numériques.

En conclusion, la norme ISO/CEI 27037 comble une lacune essentielle en normalisant les étapes initiales du traitement des preuves numériques, souvent réalisées dans l'urgence par des non-spécialistes (intervenants de première ligne, personnel informatique ou agents de sécurité). Le respect de ces étapes initiales augmente considérablement la probabilité que les preuves soient admissibles et fiables ultérieurement devant un tribunal ou au cours d'une enquête.

Même si une organisation n'est jamais poursuivie pénalement, le respect de la norme ISO IEC 27037 contribue à garantir que les enquêtes soient justifiables, reproductibles et fiables.

En bref, si vous devez saisir ou copier des preuves à partir d'un disque dur, d'un téléphone ou d'un compte cloud, la norme ISO IEC 27037 explique comment le faire correctement du premier coup.

Depuis de nombreuses années, notre organisation, forte de son personnel compétent et expérimenté, comprend les besoins de ses clients, leur fournit les services d'essais avancés requis et les accompagne dans la mise en place, l'implémentation et l'amélioration de leurs systèmes de management. Dans ce cadre, nous proposons également des services d'essais conformes à la norme « ISO/CEI 27037 : Technologies de l'information – Techniques de sécurité – Lignes directrices pour l'identification, le recueil, l'acquisition et la conservation des preuves numériques ».