// Établir les faits, sans fragiliser la preuve.
Investigation numérique
Un doute sur l'usage d'un poste, un départ de collaborateur qui laisse des questions, une suspicion de fuite de données : les réponses sont presque toujours inscrites sur le disque. Encore faut-il les lire sans détruire ce qu'on cherche. J'analyse vos postes et supports selon une méthode traçable, et je vous remets des constatations factuelles, horodatées, que vous pourrez présenter à votre conseil.
Quand y recourir
Usage non autorisé d'un poste de l'entreprise, prise en main à distance suspectée, départ d'un collaborateur avec un doute sur des fichiers emportés, installation de logiciels non autorisés, ou simplement comprendre ce qui s'est réellement passé après un incident. Dans tous ces cas, la précipitation détruit les traces : un poste qu'on rallume « juste pour vérifier » écrit des centaines de fichiers et efface des horodatages.
Une méthode qui protège la preuve
Le support est photographié, placé sous scellé numéroté, puis copié à l'identique, bit à bit, sans jamais être démarré. Les empreintes SHA-256 sont relevées avant et après intervention : si elles concordent, il est démontré que rien n'a été modifié. L'analyse porte ensuite exclusivement sur la copie, et chaque opération est consignée dans un journal horodaté annexé au rapport.
Ce que les traces racontent
Logiciels installés et réellement exécutés, outils de prise en main à distance et leurs journaux de connexion, ouvertures de session locales et distantes, périphériques USB branchés avec leur numéro de série, fichiers téléchargés, comptes créés et privilèges accordés. Chaque constatation cite sa source technique : une trace d'exécution n'est pas une preuve d'installation, et l'inverse est vrai aussi.
Un cadre juridique respecté
L'intervention suppose un mandat écrit du propriétaire du matériel. Les fichiers qu'un salarié a identifiés comme personnels ne sont jamais ouverts de ma propre initiative. Le rapport consigne des faits techniques : il ne porte aucune qualification juridique et ne désigne personne. Cette rigueur n'est pas de la prudence excessive — c'est ce qui rend vos constatations utilisables.
// questions fréquentes
Questions fréquentes
Ai-je le droit de faire analyser l'ordinateur d'un salarié ?
Vous pouvez vérifier l'usage de votre propre matériel, à condition que la mesure soit proportionnée et que les fichiers identifiés comme personnels ne soient pas ouverts hors de la présence du salarié. Avant toute intervention, je vous remets un mandat à signer et je vous indique les points à sécuriser : charte informatique, information des salariés, consultation du CSE.
Le rapport tiendra-t-il devant un conseil de prud'hommes ?
Il est conçu pour : faits horodatés, méthode décrite, limites assumées, chaîne de conservation documentée. Si la procédure est sérieusement envisagée, je vous recommande d'y associer un commissaire de justice, dont le constat a une force probante qu'un rapport privé n'aura jamais. Je vous le dis d'emblée plutôt qu'après.
Combien de temps le poste reste-t-il immobilisé ?
Le temps de la copie, soit généralement quelques heures. Le matériel vous est ensuite restitué contre décharge : l'analyse se poursuit sur la copie, sans vous priver de l'équipement.
Et si le disque est chiffré ?
Un poste Windows récent est souvent protégé par BitLocker. La clé de récupération est alors indispensable, et elle doit être récupérée avant le démontage — sans elle, le support est illisible. C'est le premier point que nous vérifions ensemble.
// autres services