Criminalistique informatique · Tribunaux

Comment un expert en informatique vérifie-t-il une chaîne d'événements alléguée lorsque les preuves numériques se contredisent ?

Les situations judiciaires ne peuvent pas toujours s'expliquer par une seule trace numérique cohérente. Ce sont justement les résultats contradictoires qui nécessitent un contrôle méthodique de la plausibilité.

Demande sans engagement

Pour le tribunal, le nombre de logiciels d'analyse utilisés n'a pas d'importance. Ce qui est déterminant, c'est quel fait technique concret peut être établi de manière fiable à partir des données disponibles, comment cette conclusion a été tirée et quelles en sont les limites.

La question concrète relative à la preuve

Nous classons chaque source en fonction de sa logique d'origine et de sa pertinence, nous vérifions les repères temporels, les interdépendances et les explications techniques alternatives possibles, et nous examinons quelles chaînes d'événements sont compatibles avec l'ensemble des éléments probants.

Pourquoi une seule trace numérique suffit rarement

Les artefacts numériques sont générés dans des systèmes dotés de leurs propres mécanismes de stockage, de synchronisation et de journalisation. Un simple horodatage, une entrée de journal ou une valeur de base de données ne sont donc pas considérés comme une preuve concluante sans contexte. Dans la mesure où la question de la preuve l'exige, plusieurs traces indépendantes les unes des autres sont mises en corrélation et des contre-hypothèses techniquement plausibles sont examinées.

Où se situe la limite de l'expression

L'expert ne doit pas résoudre une contradiction en ignorant les indices qui dérangent. Si plusieurs explications techniquement plausibles subsistent, cette incertitude doit faire partie intégrante du résultat.

Comment LanCologne traite la question de fond

Chez LanCologne, une enquête judiciaire en informatique légale commence par la question des preuves et non par un programme d'analyse spécifique. Il s'agit tout d'abord de déterminer quels faits techniques doivent être établis, quelles sources de données sont pertinentes à cet effet et quelles hypothèses contraires doivent être prises en compte.

Les éléments de preuve et les données de départ sont clairement documentés. Dans la mesure où cela est techniquement possible, l'analyse est effectuée sur des sauvegardes légistes vérifiées ou sur des copies de travail appropriées. Les résultats pertinents pour la décision ne sont pas retenus au seul motif qu’ils sont signalés par un logiciel. L’origine, la logique de formation et le contexte de l’artefact sont vérifiés ; les conclusions essentielles sont, si nécessaire, recoupées à l’aide des données sous-jacentes ou d’une deuxième méthode techniquement appropriée.

Dans l'expertise, les constatations factuelles, l'interprétation technique et les conclusions sont clairement distinguées les unes des autres. Les limites de l'affirmation sont décrites avec la même clarté : qu'est-ce qui peut être prouvé ? Qu'est-ce qui est simplement étayé ? Quels sont les résultats contradictoires ? Quelles questions restent en suspens ? L'absence de preuve n'est pas réinterprétée comme une affirmation apparemment certaine.

La partie principale est rédigée de manière à ce qu'un juge ne disposant pas de connaissances spécialisées en informatique légale puisse comprendre le raisonnement. La vérifiabilité technique est préservée. Les sources de données pertinentes pour la vérification, les informations relatives à l'intégrité, les artefacts et les étapes de l'enquête sont documentés de manière à ce qu'un expert indépendant en informatique légale puisse comprendre les conclusions essentielles dans le cadre d'une éventuelle contre-expertise.

De la décision judiciaire à un témoignage fiable

Résultats positifs, résultats négatifs et absence de détection

Une conclusion d'expert doit être ouverte quant au résultat. Si les données confirment l'hypothèse à vérifier, on explique sur quoi elle repose. Si des indices fiables contredisent cette hypothèse, ceux-ci sont également présentés. Si la base de données n'est pas suffisante pour permettre une conclusion certaine, cela est qualifié d'absence de preuve ou de question technique en suspens. C'est précisément cette distinction qui empêche qu'une lacune dans les données ne donne lieu à une affirmation apparemment certaine.

Compréhensible pour le tribunal – vérifiable sur le plan technique par un contre-expert

Les aspects techniques essentiels sont expliqués dans un langage accessible. Les termes techniques ne sont utilisés que lorsque cela est nécessaire, et sont ensuite définis. Parallèlement, les fondements techniques essentiels sont préservés : sources de données examinées, artefacts pertinents, informations relatives à l'intégrité, repères temporels et étapes méthodologiques. Un expert en informatique légale étranger à la procédure doit pouvoir vérifier le raisonnement sans que le texte principal ne devienne, aux yeux du tribunal, un simple recueil de données techniques brutes.

Cadrage méthodologique

En matière de criminalistique informatique judiciaire, il n'existe pas de liste légale des logiciels d'analyse obligatoires. Sur le plan technique, les éléments déterminants sont une base de données contrôlée, l'intégrité des données, des étapes d'enquête documentées, des conclusions vérifiables et la possibilité d'un contrôle indépendant.

Le module DER.2.2 „ Préparation à la criminalistique informatique “ du cadre de référence « BSI-Grundschutz » contient des principes fondamentaux utiles pour se préparer à d'éventuelles enquêtes criminalistiques et pour la conservation des traces en cas d'incidents de sécurité informatique. Il ne s'agit toutefois pas d'une norme de criminalistique applicable en matière de procédure pénale ; le module précise expressément que l'analyse criminalistique proprement dite ne relève pas de son champ d'application et qu'il ne se réfère pas aux enquêtes de criminalistique informatique menées dans le cadre d'infractions pénales.

LanCologne en tant qu'expert informatique indépendant

Lorsqu'un tribunal doit faire clarifier sur le plan technique une question concrète relative à une preuve numérique, nous examinons la base de données disponible de manière indépendante et sans préjuger du résultat. L'objectif n'est pas de recueillir le plus grand nombre possible de résultats techniques, mais d'apporter une réponse fondée sur des critères techniques : compréhensible pour le tribunal, transparente dans son raisonnement et vérifiable sur le plan technique.

En matière de preuve d'expert dans les procédures civiles, ce sont notamment les articles 402 et suivants du Code de procédure civile (ZPO) qui s'appliquent. L'article 403 du ZPO subordonne la production de la preuve à la désignation des points faisant l'objet de l'expertise. Conformément à l’article 404a du Code de procédure civile (ZPO), le tribunal dirige l’activité de l’expert ; en cas de litige, il détermine les faits sur lesquels doit se fonder l’expertise. L'article 407a du ZPO oblige notamment l'expert à vérifier si la mission relève de son domaine de compétence, à signaler les motifs éventuels susceptibles de justifier des doutes quant à son impartialité et, en cas de doute sur le contenu et l'étendue de la mission, à demander sans délai des éclaircissements au tribunal. L'article 411 du ZPO régit le rapport d'expertise écrit ainsi que ses explications ou compléments. L'appréciation du rapport d'expertise, conjointement avec le reste des éléments de preuve, relève de la compétence du tribunal (article 286 du ZPO).

Dans la mesure où l'expertise s'inscrit dans le cadre d'une procédure pénale, les articles 72 et suivants du Code de procédure pénale s'appliquent aux experts. Le régime procédural concret dépend de la mission et de la procédure en question. Notre mission consiste à apporter une réponse technique à la question de preuve technique ; elle ne remplace ni l'appréciation juridique ni l'appréciation judiciaire des preuves.

Foire aux questions

LanCologne – Informatique légale pour les tribunaux

Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.

Nous contacter dès maintenant