Large panorama des méthodes informatiques criminalistiques

Nous allons maintenant nous intéresser à ce métier, son rôle et son degré d’intervention dans une enquête.

Un expert en informatique légale peut intervenir à des moments précis d’une enquête et être sollicité par différentes personnes. On peut faire appel à lui dans les situations suivantes :

• 
  Lors d’une instruction ou d’un procès par un juge : c'est par exemple le cas d'une affaire où le mari, après avoir offert un téléphone portable à sa femme, espionne sa messagerie par méfiance de s'être fait trompé. Comme il est question principalement d'atteinte à la vie privée de la femme, non-respect des droits du mariage et droit de propriété puisque la facture du-dit portable est au nom du monsieur, l'affaire reste sensible en tout point. Cela va donc dépendre de la décision du juge de faire réaliser ou non une expertise sur le contenu de la messagerie pour en savoir plus.
  
  
• 
  
  Lors de l’enquête préliminaire par un procureur ou officier de police : C'est le cas de l’employeur suspectant un employé d’avoir vendu des données confidentielles de l'entreprise à un concurrent. Jusqu'à l'élucidation de l'affaire, la présomption d'innocence doit être de mise. S'il s'avère que le coupable est bien cet employé, l'affaire se règle au pénal. Si toutefois, l'employé est accusé à tort (s'il y a eu usurpation d'identité par exemple), cela se termine chez les Prud'Hommes contre l'employeur.
  
  
• 
  Lors d'une enquête de flagrance par un officier de police : C'est le cas du pirate pris en flagrant délit d'attaque informatique sur les données d'une TPE. L'expert et les forces de l'ordre sont dépêchés sur le terrain dans l'entreprise pour diagnostiquer l'environnement attaqué, remonter à la source, sécuriser le système et effectuer les sauvegardes et restaurations. L'expert est le bouclier de l'entreprise tandis que l'officier de police est l'épée. Le premier intervient pour enquêter, détecter la source et résoudre le problème. Le dernier intervient pour s'assurer que tout est fait en regard de la loi, attester des preuves fournies et pour appréhender le coupable.
  
  

En règle générale, les professionnels qui approchent la scène suivent les démarches suivantes :

• Soigner les blessés.
• Identifier les victimes et les témoins de cette scène.
• Définir un périmètre de sécurité autour de la scène et ne laisser personne obstruer l’enquête qui va avoir lieu.
• Une course contre la montre démarre, les preuves peuvent à tout moment disparaître. D’où la nécessité d’agir vite pour les conserver au mieux. Les experts concernés (les Techniciens d’Investigation Criminelle = TIC) vont collecter toutes les données utiles. Elles seront analysées en laboratoire par des experts et permettront d’en savoir plus sur l’affaire.
• Des interrogatoires permettront de procéder par élimination afin d’identifier si les suspects sont coupables ou non.

• Identifier et comprendre ce qu’il s’est passé sur le système ou l'environnement (acteurs, actions, causes et conséquences).
• Mettre en place des outils adaptés pour localiser le problème et sa source.
• Collecter et analyser les preuves (écouter le réseau, effectuer des tests d'intrusion, collecter les logs, tracer les paquets …).

L'expert en informatique légale travaille pour la loi. Par conséquent, il se doit de la respecter. Un certain nombre de contraintes viennent alors s'ajouter aux difficultés de son travail comme notamment le respect de la vie privée ou encore la présomption d'innocence. Ces contraintes peuvent généralement être respectées en se posant les questions suivantes :

Puis-je lire un email ?
Puis-je consulter les appels téléphoniques passés ?
Puis-je obtenir une copie d’une facture téléphonique ?
Puis-je consulter le contenu d’une archive chiffrée ?
Comment formuler le fait qu’on ait trouvé des documents compromettants illicites ou illégaux sur un ordinateur scellé lors d’une enquête ?