Un analyste en criminalistique numérique est un professionnel de la sécurité qui récupère, préserve et examine les preuves numériques afin de reconstituer ce qui s'est passé sur un système, un appareil ou un réseau. Ce travail répond à des questions factuelles, telles que la manière dont une intrusion a commencé, quels comptes ou fichiers ont été touchés, quand les actions ont eu lieu et si des données ont quitté l'organisation. Parce que les conclusions peuvent servir de support à des décisions internes, à des procédures disciplinaires ou à des procédures judiciaires, le rôle se définit autant par la rigueur et la défendabilité que par la compétence technique. Un analyste doit être capable de démontrer non seulement ce qu'il a conclu, mais aussi que les preuves ont été manipulées de manière à préserver leur intégrité.
Au quotidien, le travail s'organise autour d'une acquisition minutieuse et d'une analyse méthodique. Un analyste crée des copies vérifiées de disques, de mémoire, d'appareils mobiles et de journaux, en documentant chaque étape afin que la preuve originale ne soit jamais altérée et qu'une chaîne de possession claire soit maintenue. À partir de ces copies, l'analyste reconstitue une chronologie en examinant les systèmes de fichiers, les artefacts du système d'exploitation, les traces applicatives et les enregistrements réseau, puis sépare ce que la preuve soutient de ce qu'elle ne soutient pas. Le livrable est généralement un rapport écrit, et parfois un témoignage, qui explique les conclusions en termes clairs et exacts. Une prise de notes précise et des méthodes reproductibles comptent énormément, car un autre examinateur devrait pouvoir suivre le même cheminement et parvenir au même résultat.
Le rôle exige une solide compréhension de la manière dont les systèmes d'exploitation, les systèmes de fichiers et les applications courantes stockent et laissent derrière eux des données, ainsi qu'une bonne connaissance des outils forensiques établis et des artefacts qu'ils interprètent. Tout aussi importante est la discipline qui distingue le travail forensique du dépannage ordinaire : une conscience des normes de preuve, de la chaîne de possession et des limites de ce qu'un artefact donné peut prouver. Les analystes tirent profit de la patience, du scepticisme et de l'habitude de documenter honnêtement l'incertitude plutôt que d'exagérer une conclusion. Une écriture claire est essentielle, car un rapport qu'un lecteur non technique ne peut pas suivre compromet la valeur de l'analyse.
On entre couramment dans ce domaine en venant d'horizons tels que les opérations de sécurité, l'administration système, la gestion des incidents ou les forces de l'ordre, en apportant une compréhension de la manière dont les systèmes réels se comportent dans des conditions normales et anormales. Beaucoup gagnent en crédibilité grâce à des études structurées, à une pratique concrète de la manipulation des preuves et à des certifications reconnues avant de prendre en charge des affaires sensibles. Avec l'expérience, un analyste peut se spécialiser dans des domaines tels que la criminalistique mobile, cloud ou mémoire, prendre en charge des investigations plus complexes ou à plus forts enjeux, et évoluer vers des responsabilités d'examinateur principal incluant le mentorat et le contrôle qualité.
La criminalistique numérique côtoie plusieurs rôles voisins et se distingue par son orientation vers la preuve. L'intervenant en réponse à incident se concentre sur le confinement des menaces actives et le rétablissement après celles-ci, s'appuyant souvent sur des conclusions forensiques mais travaillant sous la pression du temps pour limiter les dégâts, tandis que l'analyste met l'accent sur une reconstitution approfondie et défendable après les faits. L'ingénieur en rétro-ingénierie de malwares prend en charge l'étude plus poussée du code malveillant lui-même, qu'une investigation forensique peut lui transmettre lorsqu'un échantillon nécessite une analyse détaillée. Le spécialiste de l'eDiscovery gère l'identification et la production des informations stockées électroniquement en vue d'un contentieux, une discipline connexe mais distincte centrée sur le processus juridique plutôt que sur l'investigation technique. Un responsable criminalistique supervise les affaires, les normes et l'équipe, une direction vers laquelle un analyste expérimenté peut évoluer avec le temps.