Après cette lecture, vous saurez distinguer les deux, confier chacune au bon responsable, et faire concorder leurs délais.
Définition
La continuité d'activité couvre les activités, les personnes, les sites et les fournisseurs, tandis que la reprise après sinistre couvre les systèmes, les données et l'infrastructure.
Le bilan d'impact sur l'activité les relie. Il fixe les objectifs de reprise, et le plan de reprise doit les atteindre.
Pourquoi c'est important
Les ennuis commencent quand une entreprise n'a que l'une des deux. Avec la seule reprise, les serveurs reviennent alors que personne ne sait comment servir les clients entre-temps. Avec les seuls plans de continuité, les solutions de repli supposent un délai de retour que l'informatique ne peut pas tenir.
Comment ça fonctionne
Les responsables métier portent le plan de continuité, avec ses solutions de repli, l'organisation du personnel et la communication. L'informatique porte le plan de reprise, avec ses étapes techniques et l'ordre de restauration.
Menez le bilan d'impact une seule fois et alimentez les deux plans à partir de lui.
Exercez-les ensemble au moins une fois. C'est le seul moyen de savoir si la solution de repli tient vraiment aussi longtemps que dure la restauration.
Un cas concret
Un incendie ferme le siège. Le plan de continuité bascule 40 personnes en télétravail et redirige la ligne téléphonique en deux heures. Le plan de reprise remonte le système financier dans le second centre de données en huit heures.
Pendant les six heures d'écart, la finance suit la procédure manuelle de paiements urgents prévue par le plan de continuité.
Bonnes pratiques
- Vérifiez que chaque solution de repli peut durer jusqu'au retour du système correspondant.
- Donnez à chaque plan un seul responsable, et pilotez les deux depuis une même structure de crise.
- Testez-les ensemble sur un scénario réaliste.
Erreurs fréquentes
- Employer les deux termes comme synonymes : c'est ainsi que l'un d'eux n'est jamais écrit.
- Laisser l'informatique fixer les objectifs de reprise sans les métiers, si bien que les objectifs reflètent ce qui est facile.
- Écrire des solutions de repli qui ont besoin du système même qui est tombé.
- Faire fonctionner deux cellules de crise qui ne se parlent pas.
Questions
- Qu'est-ce qui vient en premier, la continuité ou la reprise ?
- Le bilan d'impact sur l'activité, car il dit aux deux plans ce qui compte et à quelle vitesse.
- Un seul document peut-il contenir les deux plans ?
- Oui pour une petite entreprise, tant que les deux sujets sont réellement couverts et que ceux qui font les étapes techniques peuvent y accéder.
- L'ISO 22301 couvre-t-elle la reprise après sinistre ?
- Comme une partie de la continuité, par ses exigences sur les stratégies et les plans. Elle ne fixe pas d'étapes techniques de reprise.
- Qui déclare un sinistre ?
- Une personne désignée à l'avance, en général dans la cellule de crise, selon des critères écrits dans le plan.
- Où se place la réponse aux incidents ?
- Elle traite l'événement lui-même, comme contenir une attaque. La continuité et la reprise traitent ses effets sur l'activité et sur les systèmes.