Chaîne de possession.

La chaîne de possession (CoC) garantit l'intégrité et la recevabilité des preuves numériques et physiques. Chaque transfert est consigné avec horodatage, identifiants (numéro de dossier, référence de scellé, empreintes) et signatures ; les objets sont conservés sous emballage inviolable, dans des locaux à accès contrôlé. Les bonnes pratiques s'alignent sur ISO/IEC 27037, NIST SP 800-86 et les guides ACPO/SWGDE : acquisition avec bloqueurs en écriture, empreintes cryptographiques (SHA-256) avant et après copie, conservation de copies de travail.

La discipline est codifiée par plusieurs normes. Le RFC 3227 (« Guidelines for Evidence Collection and Archiving », 2002) a établi l'ordre de volatilité : capturer d'abord la RAM, les caches et l'état réseau avant le disque et les supports d'archivage, car les données les plus éphémères disparaissent en premier. La série ISO/IEC 27037/27041/27042/27043 couvre l'identification, la collecte, l'acquisition, la préservation et l'analyse, tandis que le NIST SP 800-86 détaille le cycle collecter-examiner-analyser-rapporter. Devant les tribunaux américains, une preuve doit être authentifiée au titre de la Federal Rule of Evidence 901 et satisfaire au standard de fiabilité Daubert ; une chaîne de possession intacte et ininterrompue est ce qui prouve que la pièce présentée au jury est bien celle qui a été saisie et qu'elle n'a pas été altérée. Une chaîne rompue — entrées manquantes, empreintes divergentes, scellés brisés ou une période durant laquelle un objet n'est plus tracé — permet à la partie adverse d'en demander l'exclusion et peut rendre irrecevable une preuve décisive, faisant s'effondrer un contentieux, une indemnisation ou une enquête réglementaire. Les parades incluent les remises à double signature, les bloqueurs matériels en écriture, le hachage simultané et les journaux d'audit horodatés cryptographiquement.

flowchart LR
  A[Saisie / Identification] --> B[Acquisition<br/>bloqueur + empreinte]
  B --> C{Empreinte identique ?}
  C -- Non --> X[Défaut d'intégrité<br/>preuve compromise]
  C -- Oui --> D[Stockage inviolable<br/>accès contrôlé]
  D --> E[Analyse sur<br/>copie de travail]
  E --> F[Chaque transfert consigné :<br/>qui / quand / pourquoi / signature]
  F --> G[Présentation à l'audience<br/>authentification FRE 901]
  G --> H[Sort final /<br/>restitution ou destruction]