Levée de doute
Un comportement anormal, une alerte, un e-mail suspect ? Analyse rapide pour trancher : incident réel ou faux positif. Vous savez en jours, pas en semaines.
Le cabinet · Analyses & investigations
Savoir ce qui s'est vraiment passé.
Un doute, une alerte, un incident : avant de décider, il faut établir les faits. Zerval mène trois types d'investigations, du simple contrôle à la preuve exploitable en justice. Le but n'est jamais de noyer sous la technique : c'est d'éclairer votre décision.
Premier échange confidentiel, sans engagement. Ne supprimez rien avant de nous parler.
01 · TROIS NIVEAUX D'INVESTIGATION
Du simple contrôle à la preuve exploitable.
Toutes les situations n'appellent pas la même profondeur d'analyse. Trois niveaux, selon que vous cherchez à trancher un doute, à comprendre une attaque avérée, ou à constituer un dossier qui tient devant un tiers.
Analyse de compromission
L'incident est avéré. Nous reconstituons le chemin de l'attaquant : point d'entrée, mouvements, données touchées, persistances. C'est le socle de la remédiation et des déclarations obligatoires (ANSSI, CNIL 72 h).
Forensic probatoire
Collecter et conserver la preuve numérique dans les règles de l'art, pour la banque, l'assureur, l'avocat ou la justice. Chaîne de conservation documentée, restitution lisible par des non-techniciens.
02 · CE QUI COMPTE
Ce qui détruit la preuve, ce qui la garde
La preuve numérique est fragile : une fois écrasée, elle ne revient pas. Distinguer les gestes qui l'effacent des éléments qui gardent leur valeur probante change l'issue d'un dossier.
Ce qui détruit la preuve
Les réflexes qui effacent tout
Ces actions, faites de bonne foi, rendent parfois un dossier indéfendable.
- Réinstaller un système ou « nettoyer » un appareil
- Supprimer des messages, des journaux ou des historiques
- Continuer à utiliser un compte compromis
- Modifier ou déplacer les fichiers d'origine
Ce qui a une valeur probante
Les éléments à préserver
Collectés et conservés correctement, ils gardent leur force dans le temps.
- Journaux de connexion et adresses techniques
- En-têtes d'e-mails et messages d'origine
- Captures d'écran horodatées
- Relevés d'opérations et traces d'accès
Un incident vient de se produire ? Ne touchez plus à rien.
Réinstaller, supprimer, « repartir à zéro » : les réflexes les plus naturels sont souvent ceux qui détruisent ce qui aurait pu vous protéger. Ne supprimez rien, ne réinstallez rien, et faites qualifier la situation : nous sécurisons ce qui peut encore l'être.
03 · LES LIVRABLES
Ce que vous recevez à la fin.
Une investigation ne vaut que par ce qu'elle vous permet de décider. Nos livrables séparent toujours ce qui est constaté de ce qui est supposé, conformément à la doctrine du CODEX.
Rapport d'analyse factuel
Constaté vs supposé, conformément au CODEX. Une chronologie de l'attaque, sans conclusion que les faits ne soutiennent pas.
Portée de l'incident
La liste des systèmes et des données touchés, et des recommandations priorisées pour la remédiation et les déclarations obligatoires.
Volet probatoire
Quand le dossier doit tenir face à un tiers : scellés numériques et attestation de collecte, avec une chaîne de conservation documentée.
04 · NOTRE HONNÊTETÉ
Ce que nous établissons, et ce que nous ne promettons pas.
L'investigation établit les faits avec rigueur. Elle ne réécrit pas ce qui a déjà été écrasé, et elle ne désigne pas un coupable sans preuve. Nous préférons être clairs dès le premier échange.
Ce que nous ne promettons pas
Aucun résultat garanti
Une preuve détruite peut l'être définitivement, et l'attribution reste une affaire de preuve.
- Nous ne garantissons pas de récupérer une donnée déjà écrasée
- Nous n'attribuons pas une attaque à un auteur sans preuve qui le soutient
- Nous ne garantissons pas l'issue d'une démarche bancaire, d'assurance ou judiciaire
- Nous ne promettons jamais de résultat : nous engageons une méthode
Ce sur quoi nous nous engageons
La méthode et la clarté
Ce qui dépend de nous, nous le tenons.
- Préserver ce qui peut encore l'être, sans altérer les originaux
- Documenter chaque étape : une chaîne de conservation traçable
- Séparer le constaté du supposé, sans conclusion hâtive
- Confidentialité stricte : on ne vous demande jamais vos codes
Établir les faits avant d'agir
Décider sans savoir, c'est risquer de nettoyer ce qu'on n'a pas compris, de déclarer trop tôt, ou d'accuser à tort. L'investigation donne à votre décision le socle qui lui manque : ce qui s'est réellement passé, et ce que les traces permettent (ou non) d'affirmer.
Un doute à lever, des faits à établir ?
Un premier échange avec un expert sur votre situation, confidentiel, sans engagement, sans démarchage. Nous préservons ce qui peut encore l'être, puis nous reconstituons ce qui s'est passé.