Après cette lecture, vous saurez voir comment s'articulent les éléments d'un programme de continuité, et par quoi commencer.
Définition
L'ISO 22301 fixe les exigences d'un système de management de la continuité d'activité. Sa portée va bien au-delà de l'informatique : elle englobe les personnes, les sites, les fournisseurs et l'information.
Le déclencheur peut être un incendie, une cyberattaque, la défaillance d'un fournisseur, une inondation ou l'absence soudaine de personnes clés. Les planificateurs s'intéressent à l'effet, comme la perte d'un site, car ils ne pourraient jamais lister toutes les causes.
Pourquoi c'est important
Personne ne fixe calmement des priorités au milieu d'une crise. Ce qui a été décidé avant est ce qui limite la perte.
C'est aussi une question juridique. L'article 21(2) c) de NIS2 cite la continuité d'activité et la gestion de crise, et DORA l'exige des entités financières.
Comment ça fonctionne
Le bilan d'impact sur l'activité vient en premier. Il classe les activités et fixe les objectifs de reprise, et ce n'est qu'ensuite qu'on apprécie les risques pesant sur ces activités.
Choisissez ensuite une stratégie pour chaque ressource : un autre site, le télétravail, un second fournisseur, un processus manuel. Les plans disent alors qui fait quoi, et dans quel ordre.
Les exercices viennent en dernier et ne s'arrêtent jamais vraiment. Chacun révèle quelque chose à corriger, et les plans évoluent avec l'entreprise.
Un cas concret
Un rançongiciel met à l'arrêt le système d'entrepôt d'une entreprise logistique. Le plan désigne un responsable de crise, bascule les commandes prioritaires sur les listes de préparation papier imprimées chaque nuit, et fait appel au second transporteur.
En six heures, l'entreprise expédie 60 % de son volume, le niveau fixé dans son bilan d'impact, pendant que l'informatique restaure le système depuis les sauvegardes.
Bonnes pratiques
- Partez des services dont dépendent les clients, puis remontez à ce dont ces services ont besoin.
- Gardez les plans accessibles quand le réseau est coupé, y compris sur papier.
- Nommez un suppléant pour chaque rôle clé. Les gens partent en vacances, et les crises n'attendent pas.
- Faites un exercice au moins une fois par an avec des personnes extérieures à l'informatique.
Erreurs fréquentes
- Traiter la continuité comme un projet de sauvegarde informatique, ce qui laisse l'entreprise avec des serveurs qui marchent et personne qui sait quoi faire.
- Écrire un plan si long que personne ne le lit avant le jour où il sert.
- Ne jamais le tester. Le premier test est celui où la plupart des plans échouent, et mieux vaut échouer pendant un exercice.
- Oublier que la cellule de crise a besoin d'un moyen de communiquer quand la messagerie est coupée.
Questions
- L'ISO 22301 est-elle certifiable ?
- Oui. Elle contient des exigences que les organismes de certification accrédités auditent.
- Qu'est-ce que la gestion de crise ?
- La manière dont la direction prend des décisions et communique pendant un événement grave. Les plans de continuité exécutent ces décisions dans chaque domaine opérationnel.
- À quelle fréquence tester un plan de continuité ?
- L'ISO 22301 exige des exercices à intervalles planifiés et lors de changements importants. Une fois par an est un minimum courant.
- Une petite entreprise a-t-elle besoin d'un plan de continuité ?
- Oui, à sa mesure. Quelques pages qui nomment les priorités, les personnes, les contacts et les solutions de repli suffisent souvent.
- Qu'est-ce qui fait un bon exercice de continuité ?
- Un scénario réaliste, les personnes qui agiraient vraiment, une limite de temps, et une liste écrite de corrections à la fin.