Énoncer les limites

Tout examen comporte des limites. Certains éléments n'ont pas été fournis, certaines données étaient chiffrées ou avaient été écrasées, certains outils ne pouvaient pas lire un format et certaines constatations se prêtaient à plusieurs explications. Un rapport qui dissimule ces limites induit ses lecteurs en erreur ; un rapport qui les énonce indique aux lecteurs exactement dans quelle mesure ils peuvent se fier à chaque constatation.

Pourquoi les limites doivent figurer dans le rapport

• Les décisions en dépendent. Un responsable ou un tribunal qui agit sur la base d'une constatation doit en connaître les limites.
• Elles seront découvertes de toute façon. Un examinateur mandaté par la partie adverse recherchera les lacunes. Une limite déjà énoncée dans le rapport ne constitue pas un événement notable ; une limite découverte ultérieurement nuit à la crédibilité de l'ensemble du rapport.
• L'impartialité l'exige. L'examinateur contribue à l'établissement des faits, et non à la défense d'une partie (Module 2), et les limites du travail font partie des faits.

Énoncer une limite ne revient pas à reconnaître un travail de mauvaise qualité. Cela montre que l'examinateur maîtrise suffisamment la méthode pour savoir où elle s'arrête.

Types de limites

• Limites de périmètre : ce qui n'a pas été examiné. Éléments non fournis, comptes ou données dans le cloud hors du champ de l'autorisation, plage de dates restreinte ou questions non posées.
• Limites liées aux données : ce qui n'était pas disponible dans les données. Volumes chiffrés sans clé, données supprimées qui ont été écrasées ou effacées par TRIM (Module 1), journaux ayant fait l'objet d'une rotation ou dont l'enregistrement n'a jamais été activé, supports endommagés.
• Limites des outils : ce que les outils ne pouvaient pas faire de manière fiable. Un analyseur qui ne prend pas en charge une nouvelle version d'une application, des erreurs connues dans une version d'un outil ou des fonctionnalités jamais validées (ISO/IEC 27041). Les rapports d'essai d'outils, tels que ceux du programme Computer Forensics Tool Testing (CFTT) du NIST, aident les examinateurs à connaître ces limites.
• Limites de temps et de ressources : une échéance qui ne permettait que des recherches par mots-clés sur certains éléments, ou du matériel qui n'était pas disponible.
• Limites d'interprétation : des constatations qui se prêtent à plusieurs explications, comme un compte partagé, un accès à distance, un logiciel malveillant ou une horloge système incorrecte.

Limites courantes et manière de les formuler

Une bonne formulation énonce la limite, sa cause et son effet sur les constatations, sans excuses ni imprécision.

Exprimer le degré de confiance

Les lecteurs doivent savoir dans quelle mesure les constatations étayent une conclusion. Deux approches sont courantes.

Échelles verbales

Une échelle verbale utilise un ensemble fixe de formulations, telles que soutien faible, modéré, fort et très fort. L'échelle est définie une seule fois dans le rapport, souvent dans une annexe, et les mêmes mots ont toujours le même sens. Mélanger des termes imprécis tels que "probablement", "vraisemblablement" et "compatible avec" désoriente les lecteurs. "Compatible avec" constitue un piège particulier : cette expression signifie uniquement que les constatations ne contredisent pas une explication, alors que de nombreux lecteurs y voient un soutien fort.

Le cadre du rapport de vraisemblance

Dans les rapports évaluatifs, l'examinateur considère deux propositions concurrentes, par exemple "l'utilisateur a copié les fichiers" et "un processus automatique a copié les fichiers", et se demande dans quelle mesure les constatations sont plus probables si l'une est vraie que si l'autre est vraie. Le quotient de ces deux probabilités est le rapport de vraisemblance, et les échelles verbales sont souvent mises en correspondance avec des plages de valeurs de ce rapport. Le guide relatif aux rapports évaluatifs publié par le European Network of Forensic Science Institutes (ENFSI) en 2015 est un exemple largement cité. Dans ce cadre, l'examinateur se prononce sur les constatations, et non sur la probabilité qu'une proposition soit vraie ; cette décision appartient au tribunal ou au décideur.

Ne trouver aucune preuve n'est pas une preuve d'absence

"Aucune preuve de la présence d'un logiciel malveillant n'a été trouvée" signifie que les recherches effectuées n'en ont trouvé aucune. Cela ne signifie pas qu'il n'y avait aucun logiciel malveillant. Une constatation d'absence n'a de sens que lorsque deux conditions sont réunies : la trace aurait été créée si l'événement s'était produit, et elle aurait été conservée et trouvée par les méthodes utilisées. Un rapport doit donc indiquer où et comment l'examinateur a effectué ses recherches, par exemple "Aucun enregistrement de périphérique de stockage USB n'a été trouvé dans les emplacements répertoriés à l'annexe B", et préciser si l'on s'attendrait à y trouver des traces.

Éviter les affirmations excessives

• Un appareil ou un compte n'est pas une personne. Une activité sous un compte montre que le compte a été utilisé, et non qui l'a utilisé. Les mots de passe partagés, l'accès à distance et les logiciels malveillants sont des explications possibles à envisager.
• Un horodatage est une valeur enregistrée. Il dépend de l'horloge système et de son réglage de fuseau horaire, et il peut être modifié (Module 6).
• La présence n'implique pas la connaissance. Un fichier dans le cache d'un navigateur ou dans un dossier de téléchargements ne montre pas que l'utilisateur l'a ouvert ou en connaissait le contenu.
• Évitez les termes absolus tels que "prouve", "certainement" et "sans aucun doute", ainsi que les conclusions juridiques telles que "a volé" ou "coupable", qui relèvent du tribunal.

Exemple détaillé : reformuler une phrase excessive

Un projet de rapport sur l'affaire Nordvale (Leçon 7.1) contient cette phrase : "L'analyse prouve que M. Marsh a volé les fichiers de conception le 4 mars en les copiant sur sa clé USB." Elle désigne une personne alors que les données ne montrent qu'un compte, emploie "prouve" et "a volé", présume de l'identité du propriétaire de la clé et affirme qu'une copie a eu lieu alors qu'elle n'a pas été directement observée.

Une meilleure version : "Le 4 mars 2026, entre 09:12 et 09:40 UTC, alors qu'une session était ouverte sous le compte jmarsh, un périphérique de stockage USB portant le numéro de série 0A1B2C a été connecté à l'élément 1. Pendant cette période, les journaux du serveur (élément 2) enregistrent la lecture de onze fichiers du dossier Hydra par ce compte, et des fichiers portant les mêmes noms ont ensuite été ouverts depuis le périphérique. À mon avis, ces constatations apportent un soutien fort à la proposition selon laquelle les fichiers ont été copiés sur le périphérique à l'aide de cet ordinateur portable, plutôt que d'être arrivés sur le périphérique par une autre voie. Les constatations ne permettent pas de déterminer qui utilisait l'ordinateur portable, et le périphérique n'était pas disponible pour examen."

Points clés pour l'examen : Vous devez savoir nommer les cinq types de limites (périmètre, données, outils, temps et ressources, interprétation) et classer un exemple. Attendez-vous à des questions sur les raisons pour lesquelles les limites renforcent un rapport, les échelles verbales cohérentes, le cadre du rapport de vraisemblance (constatations évaluées sous deux propositions concurrentes), la différence entre "aucune preuve n'a été trouvée" et une preuve d'absence, ainsi que les affirmations excessives consistant, par exemple, à assimiler un compte à une personne.