Principes fondamentaux de la rédaction de rapports · Leçon 1 sur 3
Ce qu’un rapport doit contenir
7 min de lecture
Pour la plupart des personnes impliquées dans une affaire, le rapport constitue l’examen. Les juges, les avocats, les responsables et les autres examinateurs ouvriront rarement une image forensique ; ils lisent ce que l’examinateur a écrit à son sujet. Un examen rigoureux accompagné d’un rapport insuffisant peut ne pas aboutir, car personne ne peut savoir ce qui a été fait ni dans quelle mesure se fier au résultat. Chaque partie d’un rapport sert à répondre à une question que le lecteur se posera. La leçon 7.2 traite des limites et la leçon 7.3 de la rédaction destinée aux lecteurs non spécialistes. Les notes prises pendant les travaux, qui étayent le rapport, sont abordées dans le module 5.
À quoi sert un rapport
Un rapport forensique communique les constatations afin que d’autres puissent les comprendre, les vérifier et s’y fier. Chacun de ces verbes renvoie à un lecteur différent.
- Comprendre : la personne qui doit prendre une décision, par exemple un juge, un tribunal ou un responsable, a besoin de réponses claires aux questions posées.
- Vérifier : un réviseur ou un examinateur mandaté par la partie adverse a besoin de suffisamment de détails pour éprouver la méthode et reproduire les travaux.
- S’y fier : chacun doit savoir sur quoi reposent les constatations et quelles en sont les limites, afin qu’une décision n’aille pas au-delà de ce que les éléments de preuve permettent d’établir.
ISO/IEC 27042, la norme relative à l’analyse et à l’interprétation des preuves numériques (module 1), est la référence internationale habituelle pour rendre compte de ces travaux. De manière générale, elle exige qu’un rapport indique clairement ce qui a été examiné, comment, ce qui a été constaté et comment chaque conclusion découle des constatations. Les laboratoires accrédités selon ISO/IEC 17025 doivent également respecter les exigences de cette norme concernant la présentation des résultats.
La structure habituelle
Les formats de rapport diffèrent selon les organisations et les pays, mais la plupart contiennent les mêmes éléments de base, généralement dans cet ordre.
| Section | La question à laquelle elle répond | Contenu habituel |
|---|---|---|
| Identification | Qui a rédigé ce rapport, pour quelle affaire et quand ? | Référence de l’affaire, version du rapport, nom et qualifications de l’examinateur, date des instructions, période d’examen, date du rapport |
| Instructions et périmètre | Qu’a-t-on demandé, qui l’a demandé et dans quelles limites ? | Questions reçues, personne qui les a formulées, autorisation, éléments inclus dans le périmètre et exclus de celui-ci |
| Éléments reçus | Qu’a-t-on examiné exactement ? | Identifiants des éléments, descriptions, numéros de série, dates de réception, état des scellés, valeurs de hachage avec indication de l’algorithme |
| Méthodes et outils | Comment les travaux ont-ils été réalisés ? | Procédures suivies, noms des outils et versions exactes, paramètres influant sur les résultats, modalités de vérification des résultats |
| Constatations | Que montrent les données ? | Observations accompagnées de leur source : élément, chemin de fichier, enregistrement, horodatage et fuseau horaire |
| Interprétation | Que signifient les constatations ? | Avis, fondement de cet avis, autres explications envisagées et degré de soutien apporté à chacune par les constatations |
| Limites | Qu’est-ce qui n’a pas pu être réalisé ou établi ? | Limites liées au périmètre, aux données, aux outils, au temps et à l’interprétation (leçon 7.2) |
| Conclusions | Quelle est la réponse à chaque question ? | Une réponse par question, avec des renvois aux constatations |
| Annexes | Où se trouvent les détails ? | Détails techniques, chronologies, listes complètes des éléments, glossaire |
Faits, inférences et avis
Un lecteur doit pouvoir distinguer ce que l’examinateur a observé de ce qu’il en a conclu. Trois types d’énoncés doivent être séparés et formulés de manière à faire apparaître cette différence.
- Fait (observation) : ce que contiennent les données, que toute personne disposant de la même image peut vérifier. « La ruche de registre SYSTEM de l’élément 1.1 contient une entrée correspondant à un périphérique de stockage USB portant le numéro de série 0A1B2C. »
- Inférence : une conclusion obtenue par un raisonnement fondé sur des faits. « Ce périphérique a été connecté à l’ordinateur portable le 4 mars 2026. »
- Avis : l’évaluation par l’examinateur, fondée sur son expertise, de ce que les constatations signifient au regard des questions, par exemple dans quelle mesure elles étayent une explication plutôt qu’une autre.
De nombreux systèmes juridiques permettent à un expert d’émettre des avis que les témoins ordinaires ne peuvent pas donner, mais uniquement dans son domaine d’expertise et en précisant leur fondement. Un avis sans fondement explicité est peu utile au lecteur qui doit en apprécier la valeur.
Reproductibilité : suffisamment de détails pour reproduire les travaux
Le module 1 a défini la reproductibilité : un autre examinateur, utilisant la même méthode, obtient le même résultat. Un rapport ne rend cela possible que s’il consigne :
- les valeurs de hachage de chaque élément et de chaque image, afin qu’un second examinateur puisse confirmer qu’il dispose des mêmes données ;
- le nom et la version exacte de chaque outil, car le comportement d’analyse des données et les erreurs connues évoluent d’une version à l’autre ;
- les paramètres qui influent sur les résultats, tels que le fuseau horaire utilisé pour afficher les horodatages (module 6) ;
- l’emplacement précis de chaque constatation : chemin de fichier, clé de registre, table de base de données ou numéro d’enregistrement ;
- la manière dont les données supprimées ou masquées ont été récupérées et dont les résultats essentiels ont été vérifiés, par exemple à l’aide d’un second outil ou par inspection manuelle.
Un rapport n’a pas besoin de répertorier chaque clic. Les notes prises au moment des travaux contiennent ce niveau de détail (module 5) et peuvent être communiquées si un réviseur les demande.
Des conclusions qui répondent aux questions
Chaque question figurant dans les instructions doit recevoir une réponse, dans le même ordre et avec la même numérotation, même lorsque la réponse est « cela n’a pas pu être déterminé ». Les conclusions n’introduisent rien de nouveau : chacune doit pouvoir être rattachée aux constatations présentées précédemment. Les constatations à décharge doivent figurer dans les conclusions aussi clairement que celles à charge (module 1). Si un rapport est ensuite corrigé ou complété, une nouvelle version ou un rapport complémentaire est publié et les modifications sont indiquées, plutôt que de remplacer silencieusement le texte antérieur.
Un exemple détaillé : vol de données par USB
Nordvale Engineering soupçonne un ingénieur d’avoir copié des fichiers de conception avant de démissionner. Le rapport de l’examinateur est présenté dans ses grandes lignes ci-dessous.
- Identification : rapport NV-2026-014, version 1.0 ; nom et qualifications de l’examinateur ; instructions reçues le 10 mars 2026 ; examen du 11 au 18 mars ; rapport daté du 20 mars.
- Questions : Q1, un périphérique de stockage USB a-t-il été connecté à l’ordinateur portable NV-LT-0193 entre le 1er et le 15 mars 2026 ? Q2, des fichiers du dossier du projet Hydra ont-ils été transférés vers un tel périphérique ? Q3, quel compte utilisateur était utilisé à ce moment-là ?
- Éléments : élément 1, l’ordinateur portable avec son numéro de série ; élément 1.1, son image forensique avec la valeur SHA-256 consignée lors de l’acquisition et de la vérification ; élément 2, un export des journaux d’accès du serveur de fichiers avec sa propre valeur de hachage.
- Méthodes : création de l’image au moyen d’un bloqueur d’écriture ; outils nommés avec leurs versions exactes ; toutes les heures affichées en UTC.
- Constatations : enregistrements relatifs au périphérique dans la ruche SYSTEM et dans setupapi.dev.log ; fichiers de raccourci (LNK) montrant que des fichiers portant les mêmes noms que les fichiers Hydra ont été ouverts depuis le volume du périphérique (module 6).
- Interprétation : les constatations étayent un transfert vers le périphérique ; l’hypothèse d’une sauvegarde automatique a été envisagée et écartée, car aucun logiciel de sauvegarde n’était configuré.
- Limites : le périphérique USB n’était pas disponible, son contenu n’a donc pas pu être confirmé ; les constatations identifient un compte, et non une personne.
- Conclusions : réponses à Q1, Q2 et Q3, chacune renvoyant aux constatations.
- Annexes : chronologie des événements, liste des périphériques USB, glossaire.
Points clés pour l’examen : Passez en revue les sections d’un rapport forensique et la question à laquelle chacune répond, notamment les éléments reçus avec leurs identifiants et leurs valeurs de hachage, les outils avec leurs versions exactes, ainsi que les conclusions qui répondent à chaque question. Sachez distinguer les faits, les inférences et les avis, et expliquer quels détails rendent les travaux présentés dans un rapport reproductibles. Retenez ISO/IEC 27042 comme référence pour rendre compte de l’analyse et de l’interprétation, et rappelez-vous que les conclusions doivent pouvoir être rattachées aux constatations.