Chaîne de conservation et documentation · Leçon 3 sur 3
Stockage et conservation des éléments de preuve
8 min de lecture
Entre leur collecte et la clôture d'une affaire, les éléments de preuve passent la majeure partie de leur existence en stockage. Une affaire peut durer des années, et l'élément qui sort du lieu de stockage doit être celui qui y est entré, toujours lisible et toujours traçable. Cela exige davantage qu'une armoire fermée à clé : les objets physiques et les copies numériques nécessitent chacun une protection adaptée, une personne doit décider de la durée de conservation de l'ensemble, et la clôture d'une affaire s'accompagne de ses propres formalités documentaires. Le conditionnement pour le transport est traité dans le Module 3.
Stockage des objets physiques
Les éléments de preuve physiques, tels que les ordinateurs, les disques, les téléphones et les cartes mémoire, sont conservés dans un espace sécurisé dédié : une pièce, une armoire ou un coffre-fort fermé à clé et réservé aux éléments de preuve.
- Contrôle d'accès : seuls les responsables de la garde nommément désignés détiennent les clés ou les cartes d'accès ; toute autre personne est inscrite au registre et accompagnée.
- Registres : chaque entrée ou sortie d'un élément est consignée dans son registre de chaîne de traçabilité, et les accès au lieu de stockage lui-même sont enregistrés au moyen d'un système d'accès électronique ou d'un registre signé.
- Température et humidité : des conditions stables, tempérées et sèches, car la chaleur, l'humidité et la condensation endommagent les composants électroniques et les supports.
- Électricité statique : les disques, les cartes mémoire et les cartes de circuits imprimés sont conservés dans des sachets antistatiques.
- Champs magnétiques : les aimants puissants peuvent endommager les supports magnétiques tels que les disques durs et les bandes ; ceux-ci sont donc tenus à l'écart des haut-parleurs, des moteurs et des autres équipements magnétiques.
- Sécurité physique : les objets sont disposés sur les étagères de manière à ne pas tomber ni être écrasés, et les batteries au lithium endommagées ou gonflées, qui présentent un risque d'incendie, sont isolées conformément aux consignes de sécurité.
Les objets provenant d'affaires différentes ne sont pas mélangés dans un même contenant, et le lieu de stockage est organisé de façon à pouvoir retrouver rapidement tout élément à partir de son identifiant. Le lieu de stockage fait également l'objet d'audits : à intervalles réguliers, le responsable de la garde ou une personne indépendante compare les éléments présents sur les étagères aux registres de chaîne de traçabilité, confirme que les scellés sont intacts et signale tout élément manquant, mal rangé ou non enregistré. Les écarts font l'objet d'une investigation et sont documentés, et non corrigés discrètement.
Stockage des éléments de preuve numériques
Les images forensiques, les exportations et les fichiers extraits nécessitent les mêmes précautions sous forme numérique.
- Stockage chiffré, afin qu'un disque perdu ou un serveur compromis n'expose pas les données, qui comprennent souvent des informations personnelles sur des personnes étrangères à l'affaire (Module 2).
- Contrôle d'accès au moyen de comptes individuels, avec des droits accordés pour chaque affaire puis retirés lorsqu'ils ne sont plus nécessaires, et une journalisation des accès.
- Une seconde copie sur un support distinct ou dans un lieu distinct, vérifiée par hachage par rapport à la valeur obtenue lors de l'acquisition, afin qu'une défaillance unique ne puisse pas détruire les éléments de preuve.
- Contrôles périodiques d'intégrité : les valeurs de hachage sont recalculées selon un calendrier et comparées aux valeurs obtenues lors de l'acquisition, et les résultats sont consignés.
- Migration si nécessaire : les supports de stockage vieillissent et les formats de fichiers tombent en désuétude ; les éléments de preuve conservés pendant des années peuvent donc être transférés sur de nouveaux supports, avec une vérification par hachage avant et après le transfert.
Les clés et les mots de passe qui protègent le stockage des éléments de preuve sont eux-mêmes essentiels : s'ils sont perdus, les éléments de preuve le sont aussi. Ils sont gérés selon les mêmes règles d'accès que les éléments de preuve.
Copies maîtresses et copies de travail
Une pratique courante consiste à conserver une copie maîtresse de chaque image forensique, qui n'est jamais examinée directement. Elle est stockée en lecture seule et sa valeur de hachage correspond à celle enregistrée lors de l'acquisition. Les examinateurs travaillent sur des copies de travail créées à partir de la copie maîtresse et vérifiées par hachage avant utilisation. Si une copie de travail est endommagée, modifiée par un outil ou simplement jugée non fiable, une nouvelle copie est créée à partir de la copie maîtresse. L'appareil d'origine, lorsqu'il est conservé, reste sous scellés dans le lieu de stockage des éléments de preuve et n'est rouvert que pour un motif consigné, tel que la nécessité de procéder à une nouvelle acquisition.
Exigences de stockage par type d'élément de preuve
| Type d'élément de preuve | Principaux risques lors du stockage | Exigences de stockage |
|---|---|---|
| Disques durs | Chocs, champs magnétiques puissants, humidité | Emballage antistatique rembourré ; lieu de stockage sec et aux conditions stables ; à l'écart des aimants |
| SSD, clés USB, cartes mémoire | Électricité statique, chaleur ; les données ne sont conservées sans alimentation que pendant une durée limitée | Sachets antistatiques ; lieu de stockage frais ; s'appuyer sur des images vérifiées, et non sur l'appareil, pour la conservation à long terme |
| Téléphones et tablettes | Décharge ou gonflement de la batterie ; modifications à distance en cas de connexion | Maintenir l'isolement des réseaux ; vérifier l'état de la batterie ; suivre les consignes de sécurité relatives aux batteries endommagées |
| Disques optiques | Rayures, chaleur, lumière directe | Boîtiers individuels, rangés verticalement dans un endroit frais et sombre |
| Images forensiques et exportations | Corruption, accès non autorisé, point unique de défaillance | Stockage chiffré avec contrôle d'accès ; seconde copie vérifiée ; contrôles périodiques par hachage |
| Documents papier et carnets | Perte, dommages, altération | Stockage sous clé avec le dossier de l'affaire ; copies numérisées à titre de sauvegarde |
Conservation et obligations de préservation à des fins judiciaires
La durée de conservation des éléments de preuve ne relève pas de la décision de l'examinateur. Les durées de conservation sont fixées par la loi, par contrat ou par la politique de l'organisation, et elles varient selon le type d'affaire et la juridiction. Les éléments de preuve liés à des affaires pénales graves sont souvent conservés pendant de nombreuses années, car des appels et des réexamens peuvent suivre, tandis qu'une enquête interne en entreprise peut relever de la politique de gestion documentaire de l'organisation. La durée de conservation ou la date de fin de conservation de chaque élément doit être consignée, et rien ne doit être détruit avant cette échéance.
Une obligation de préservation à des fins judiciaires, également appelée obligation de conservation en vue d'un litige, prime sur les règles normales de conservation : lorsqu'une procédure judiciaire est en cours ou raisonnablement prévisible, les objets et les données pertinents doivent être préservés même si leur durée normale de conservation est écoulée. Ces obligations sont courantes dans les litiges civils et la recherche de preuves électroniques, dont traite la norme ISO/IEC 27050. Avant toute élimination, le responsable de la garde confirme qu'aucune obligation de ce type ne s'applique.
Restitution et élimination
À la clôture d'une affaire, les objets sont restitués à leur propriétaire, conservés plus longtemps ou détruits. Chaque issue nécessite :
- Une autorisation de la personne ou de l'organisme habilité à la donner, consignée dans le dossier de l'affaire.
- Une liste complète de l'élément et de toutes ses copies, y compris les copies de travail, les secondes copies et les exportations, afin de n'en oublier aucune.
- Une restitution contre signature, qui clôt le registre de chaîne de traçabilité, ou une destruction au moyen d'une méthode adaptée au support, telle que l'écrasement des données, l'effacement cryptographique ou la destruction physique. NIST SP 800-88 décrit les méthodes d'assainissement des supports.
- Un procès-verbal de destruction : ce qui a été détruit, comment, quand, par qui et en présence de qui, souvent délivré sous forme de certificat.
Supprimer un fichier d'un serveur d'éléments de preuve ne constitue pas une élimination sécurisée : les données peuvent subsister sur les supports et dans les sauvegardes. Les copies conservées en dehors du lieu de stockage, sur le poste de travail d'un examinateur ou l'ordinateur portable d'une personne chargée de la revue, sont les plus souvent oubliées. Le dossier de l'affaire, y compris les notes, les registres de chaîne de traçabilité et le procès-verbal de destruction, est généralement conservé après la disparition des éléments de preuve eux-mêmes, afin que le travail puisse encore être réexaminé.
Référentiels qualité
Le stockage et la manipulation font partie du système qualité d'un laboratoire : ISO/IEC 17025 définit les exigences générales concernant la compétence des laboratoires d'essais et d'étalonnages et sert à accréditer de nombreux laboratoires de criminalistique, tandis que ISO/IEC 27037 inclut la préservation des éléments de preuve numériques parmi les activités qu'elle couvre.
Points clés pour l'examen : Apprenez les exigences de stockage des objets physiques (contrôle d'accès, registres, température et humidité stables, protection contre l'électricité statique et les champs magnétiques) et des éléments de preuve numériques (chiffrement, contrôle d'accès, seconde copie vérifiée, contrôles périodiques par hachage), ainsi que la différence entre copies maîtresses et copies de travail. Attendez-vous à des questions sur les durées de conservation fixées par la loi, par contrat ou par une politique, sur les obligations de préservation à des fins judiciaires qui priment sur la suppression normale, et sur la restitution ou la destruction autorisée et documentée de chaque copie. Identifiez ISO/IEC 17025 comme la norme relative à la compétence des laboratoires.