Voici un scénario que j’ai vu se reproduire plusieurs fois. Un incident de sécurité survient dans une organisation. L’équipe interne (ou un consultant externe) commence à fouiller les systèmes : quelqu’un collecte des journaux d’événements, un autre fait des captures d’écran, un troisième tente de reconstituer la séquence des événements sur sa propre copie des données.

Trois semaines plus tard, quand l’assureur demande à voir le rapport d’investigation, personne n’est capable d’expliquer clairement qui a fait quoi, dans quel ordre et avec quelle méthode. Les preuves existent, mais leur valeur est contestable parce que le processus n’était pas documenté.

Ce scénario n’est pas une exception. C’est la norme dans les organisations qui n’ont pas de cadre d’investigation structuré.

ISO/IEC 27043 existe précisément pour ça.

C’est quoi, ISO/IEC 27043?

ISO/IEC 27043:2015, intitulée Incident investigation principles and processes, est une norme internationale qui établit les principes et les processus d’une enquête numérique (aussi appelée investigation forensique numérique).

Elle définit les classes de processus à suivre lors de toute investigation impliquant des preuves numériques : accès non autorisé, fuite de données, fraude interne, compromission d’un système, ou toute autre atteinte à la sécurité de l’information.

Ce n’est pas un guide opérationnel pour les enquêteurs techniques. C’est un cadre de référence de haut niveau qui harmonise les pratiques d’investigation, peu importe le type d’incident ou la taille de l’organisation.

La norme est intentionnellement abstraite pour qu’elle s’applique autant à une enquête sur un serveur compromis qu’à une investigation sur un appareil mobile, un environnement infonuagique ou un système industriel.

“La norme fournit des lignes directrices encapsulant des modèles idéalisés pour les processus d’investigation communs à travers différents scénarios d’enquête, des processus de préparation pré-incident jusqu’à la clôture de l’investigation.” — ISO/IEC 27043:2015

Le principe fondamental derrière tout ça, c’est la répétabilité : deux enquêteurs compétents, dans des conditions similaires, appliquant les mêmes méthodes, doivent obtenir le même résultat. Si ce n’est pas le cas, la méthode utilisée est discutable, et les preuves le sont aussi.

Pour un décideur ou un gestionnaire, voici la traduction pratique : si votre processus d’investigation ne peut pas être reproduit et expliqué étape par étape à un juge, à votre assureur ou à une autorité réglementaire, vous êtes vulnérables.

Les 5 classes de processus

ISO 27043 structure l’enquête numérique en cinq grandes classes de processus. Je vous les présente dans l’ordre logique d’une investigation complète.

1. Les processus de préparation (Readiness)

Ces processus se déroulent avant tout incident. L’organisation définit les scénarios d’enquête probables pour son contexte, identifie ses sources potentielles de preuves numériques (journaux d’événements, caméras, journaux d’accès aux systèmes), configure son architecture informatique pour faciliter la collecte de preuves et forme ses équipes.

La norme qualifie ces processus d’optionnels. Je ne suis pas d’accord avec cette formulation. En pratique, une organisation non préparée va improviser lors de l’incident, et improviser coûte cher : en temps, en argent et en crédibilité lors des suites légales ou réglementaires.

Un exemple concret de préparation : vous savez que vos journaux d’événements (logs) de serveur ne sont conservés que 30 jours par défaut. Lors d’un incident découvert 45 jours après les faits, ces journaux n’existent plus. Si vous avez fait le travail de préparation, vous avez déjà revu votre politique de rétention et allongé cette période. La norme vous fournit le cadre pour faire cet exercice de façon structurée, en lien avec une analyse de risque.

2. Les processus d’initialisation

C’est ici que l’enquête commence concrètement : détection de l’incident, première réponse, planification de l’investigation et préparation des ressources.

La première réponse est la phase la plus critique. Des gestes mal posés à ce stade peuvent détruire des preuves irremplaçables. Éteindre un serveur sans d’abord capturer l’état de la mémoire vive (RAM) efface toutes les données volatiles : connexions actives, processus en cours, clés de chiffrement. Ouvrir ou modifier des fichiers sur un système compromis change leurs métadonnées (date d’accès, date de modification) et peut les rendre inutilisables comme preuves. Ce ne sont pas des erreurs rares. Ce sont des réflexes naturels que l’on fait quand on n’a pas de procédure établie.

La norme insiste sur un point important : la planification qui se fait à ce stade doit utiliser des processus validés (voir ISO/IEC 27041). Ce n’est pas le moment d’improviser les méthodes.

3. Les processus d’acquisition

Identification, collecte, acquisition, transport et stockage des preuves numériques potentielles. Chaque étape doit préserver l’intégrité des données. En pratique, cela signifie des copies forensiques vérifiables (images bit-à-bit accompagnées de fonctions de hachage pour prouver qu’aucune modification n’a eu lieu), une documentation de chaque manipulation et un stockage physiquement sécurisé.

La distinction entre »collecter » et »acquérir » est importante. Collecter, c’est prendre possession des équipements physiques. Acquérir, c’est créer une copie forensique des données. L’acquisition peut se faire sur les lieux ou en laboratoire, selon le type d’équipement et la situation.

Tant que les données n’ont pas été analysées et confirmées comme pertinentes, elles sont considérées comme des »preuves numériques potentielles ». Ce ne sont pas encore des preuves au sens juridique.

4. Les processus d’investigation

Analyse des preuves potentielles, interprétation des résultats, production du rapport et présentation des conclusions. C’est la phase où »preuves potentielles » deviennent »preuves » une fois que leur pertinence est établie pour l’investigation.

La norme souligne un point que j’estime souvent sous-estimé dans les organisations : le rapport doit être compréhensible pour un auditoire non technique. Juges, gestionnaires, assureurs, membres d’un conseil d’administration : ces personnes vont lire votre rapport d’investigation et prendre des décisions en fonction de ses conclusions. Si le rapport est incompréhensible pour elles, il n’accomplit pas son rôle.

Trop souvent, j’ai vu des rapports d’enquête tellement techniques qu’ils en devenaient inutilisables pour les décideurs. La norme spécifie explicitement que le rapport doit être »clair, concis et non ambigu dans ses affirmations ». C’est une exigence, pas un conseil de rédaction.

5. Les processus concurrents

Ces six processus se déroulent en parallèle tout au long de l’enquête, de la détection à la clôture. Ce sont eux qui garantissent la recevabilité juridique des preuves.

  • Obtention des autorisations : chaque action dans l’investigation doit être autorisée par les parties concernées (propriétaires de systèmes, autorités compétentes, direction). Accéder à des systèmes sans autorisation adéquate, même lors d’une investigation légitime, peut créer des problèmes légaux.
  • Documentation : tout doit être consigné, les activités comme les observations. Pas de documentation, pas de preuve que le processus a été suivi correctement.
  • Gestion des flux d’information : qui communique quoi, à qui et par quel canal. Cela inclut la protection des données d’enquête elles-mêmes, notamment via des mécanismes de chiffrement et d’authentification entre enquêteurs.
  • Préservation de la chaîne de possession (chain of custody) : démontrer que les preuves n’ont pas été altérées entre leur collecte et leur présentation. C’est le processus le plus critique pour la recevabilité juridique.
  • Préservation des preuves numériques : maintenir l’intégrité de l’original à tout moment, depuis la détection jusqu’à la clôture.
  • Interaction avec l’investigation physique : coordination si une enquête physique (police, enquêteurs privés) se déroule en parallèle.

La chaîne de possession, c’est votre filet de sécurité ultime. Elle répond à la question que posera n’importe quel avocat de la défense : »Comment savez-vous que ces preuves n’ont pas été modifiées? » Sans chaîne de possession documentée, vous ne pouvez pas y répondre.

L’écosystème autour d’ISO 27043

ISO 27043 est délibérément une norme-cadre de haut niveau. Elle définit l’architecture d’ensemble, pas les détails d’exécution. Pour ça, elle s’appuie sur une famille de normes complémentaires.

ISO/IEC 27035 (gestion des incidents de sécurité de l’information) est la porte d’entrée naturelle vers ISO 27043. Elle structure la réponse aux incidents en trois parties : principes, directives pour la planification et la préparation, directives pour la réponse. Quand votre processus ISO 27035 vous signale qu’un incident requiert une investigation, vous passez dans le territoire d’ISO 27043.

ISO/IEC 27037 (identification, collecte, acquisition et préservation des preuves numériques) est la norme opérationnelle pour votre équipe sur le terrain. Elle précise comment procéder avec différents types d’équipements et de supports (ordinateurs, appareils mobiles, réseaux, environnements infonuagiques). C’est la norme que vos techniciens forensiques utilisent au quotidien lors de la phase d’acquisition.

ISO/IEC 27041 (validation des méthodes d’investigation) garantit que les méthodes et outils utilisés lors de l’enquête sont appropriés et peuvent être démontrés comme tels. Elle est directement liée à la recevabilité des preuves devant un tribunal ou un arbitre.

ISO/IEC 27042 (analyse et interprétation des preuves numériques) couvre en détail la phase d’analyse. Là où ISO 27043 dit »analysez les preuves et interprétez les résultats », ISO 27042 explique les méthodes pour le faire de façon rigoureuse et reproductible.

ISO/IEC 30121 (gouvernance du cadre de risque forensique) est la norme que je recommande aux RSSI de présenter à leur comité de direction. Elle s’adresse spécifiquement aux organes de gouvernance et les guide dans la préparation stratégique de l’organisation aux investigations numériques. Elle répondra à la question »Qu’est-ce que ça demande, comme ressources et comme décisions, de se préparer correctement? »

ISO/IEC 27040 (sécurité du stockage) intervient pour la conservation sécurisée des preuves pendant et après l’investigation, et pour la destruction conforme des données en fin de dossier.

En résumé : ISO 27043 vous dit quoi faire et dans quel ordre. Les normes satellites vous disent comment le faire pour chaque phase spécifique. Elles ne se remplacent pas : elles se complètent.

Qui devrait porter ISO 27043 dans votre organisation?

La norme touche à plusieurs fonctions : la sécurité de l’information (RSSI), le juridique (DPO ou conseiller légal), les opérations TI et, ultimement, la direction. En pratique, c’est souvent le RSSI qui pilote l’adoption du cadre, avec le soutien du juridique pour les aspects de recevabilité et d’autorisation.

Ce que je recommande : nommez un responsable de l’investigation numérique avant d’en avoir besoin. Définissez qui prend les décisions lors des premières heures d’un incident (isolation des systèmes, collecte de preuves, communication externe). Ces décisions ne se prennent pas bien sous pression si elles n’ont jamais été planifiées.

Quand s’y référer?

Lors d’un incident de sécurité avec implications légales ou contractuelles. Dès qu’il y a une possibilité de litige, de réclamation d’assurance ou de plainte réglementaire, l’investigation doit suivre un cadre structuré et reproductible. ISO 27043 est ce cadre. Ce n’est pas une suggestion.

Quand vous mandatez un fournisseur externe pour une investigation forensique. Comment évaluer si ses méthodes sont adéquates? En vérifiant qu’elles respectent les principes d’ISO 27043 et d’ISO 27041. Demandez-leur explicitement. Un fournisseur sérieux connaîtra ces normes et pourra vous expliquer comment ses processus s’y alignent.

Dans le cadre de votre certification ISO 27001. Les clauses 5.24 à 5.28 d’ISO 27001:2022 portent sur la gestion des incidents de sécurité de l’information. ISO 27043 complète naturellement ISO 27035 pour la composante investigation et démontre un niveau de maturité supérieur lors d’un audit de certification.

Lors d’une atteinte à la confidentialité visée par la Loi 25 ou le RGPD. Une investigation structurée est souvent requise pour comprendre l’étendue d’une brèche et démontrer votre diligence aux autorités réglementaires (Commission d’accès à l’information du Québec, CNIL en France). La documentation que vous produirez sera scrutée. Un cadre comme ISO 27043 démontre que vous avez suivi un processus reconnu.

Pour évaluer votre niveau de préparation actuel. Les processus de préparation (Readiness) d’ISO 27043 constituent un excellent cadre d’auto-évaluation. Voici quelques questions concrètes : Avez-vous identifié vos sources potentielles de preuves numériques? Vos systèmes génèrent-ils les journaux d’événements dont vous auriez besoin? Quelle est votre politique de rétention de ces journaux? Vos équipes savent-elles quoi faire dans les premières 30 minutes d’un incident? Si vous n’avez pas de réponses claires à ces questions, vous n’êtes pas prêts.

Ce que vous devriez retenir

ISO/IEC 27043 n’est pas une norme pour les enquêteurs forensiques seulement. C’est une norme pour tous ceux qui doivent superviser, encadrer ou évaluer une investigation numérique : RSSI, DPO, gestionnaires de risques, dirigeants de PME.

La norme date de 2015 et n’a pas été révisée depuis. Le paysage numérique a évolué (infonuagique, objets connectés, intelligence artificielle). Mais ses principes fondamentaux, la répétabilité, la chaîne de possession, la documentation systématique, l’autorisation de chaque action, restent aussi valides qu’au premier jour. Ce sont des principes, pas des recettes techniques.

L’ennemi de la sécurité est la complexité. Un cadre structuré comme ISO 27043 n’en ajoute pas : il l’élimine en donnant un ordre logique d’opérations que tout le monde comprend.

Si vous n’avez jamais fait le tour de votre programme de préparation aux enquêtes numériques, c’est là que je vous encourage à commencer. Pas après l’incident.

Sources