Maintenant que vos risques sont mieux cernés et que vos activités prioritaires sont identifiées, vous devez choisir une stratégie pour être prêt à dérouler un plan suite à la survenance d’un événement perturbateur, parmi un panel de solutions pouvant être :
des solutions de prévention ou de réduction de risque issues de l’appréciation des risques que vous décidez de traiter ;
des solutions de détection et de remontée d’alerte ;
des solutions de protection, de maintien et/ou reprise des activités prioritaires, activités déterminées lors du bilan d’impact sur l’activité (BIA), avec les niveaux de service acceptables.
Vous devrez également faire valider cette stratégie par la Direction générale qui décidera en fonction de certains points ; en particulier :
L'appétence au risque : cherchez-vous à réduire vos risques ou acceptez-vous de vivre avec ?
Le choix des priorités : que décidez-vous pour vos activités prioritaires (issues du BIA) ? Validez-vous les délais maximaux d’interruption admissibles demandés par les responsables (les DMIA) ? Quel niveau de reprise vous paraît acceptable ?
Le choix de solutions : Avec quels moyens (site de repli des positions de travail critiques, site de secours informatique, constitution de stocks de secours, etc.), quels effectifs et quelle montée en charge de positions de travail prévoyez-vous de mettre en place ?
Le choix de partenaires : Allez-vous faire appel à des prestataires de solution de repli des positions de travail, de solution de secours informatique ?
Le choix financier : Quel budget allez-vous consacrer à cela ? Quel planning ? Quelles priorités ?
Vous trouverez ci-dessous les différents types de solutions de continuité d’activité. Pour bâtir votre stratégie, vous devrez choisir un panel cohérent de ces solutions.
Les solutions de prévention
Les solutions de prévention sont mises en œuvre avant la survenance de l’événement perturbateur. Elles ont pour objectif de réduire sa probabilité de survenance. Elles fonctionnent de manière proactive et doivent faire l’objet d’amélioration continue.
Vous trouverez ci-dessous quelques exemples classiques de mesures de prévention :
les systèmes de contrôle d’accès dans un bâtiment ;
le secours de l’alimentation électrique par des onduleurs et des groupes électrogènes ;
la mise à jour régulière des logiciels de sécurité ;
l'achat préventif de pompes de relevage, de dispositifs d’étanchéité temporaires et amovibles pour pallier une inondation ;
etc.
Les solutions de détection de l’événement perturbateur
Les solutions de détection sont installées avant la survenance de l’événement perturbateur. Elles peuvent réduire l’impact en le détectant rapidement, permettant ainsi de lancer rapidement une remontée d’alerte.
Vous trouverez ci-dessous quelques exemples de mesures de détection :
installer des détecteurs de température, de fumée, de feu, d’intrusion physique ;
implémenter un Security Operation Center (SOC), centre de supervision et d'administration de la sécurité qui remonte les cyberattaques ;
effectuer une veille active sur certains risques (Vigicrues, Météo France, contact avec la préfecture, etc.).
Les solutions de protection, maintien et/ou reprise des activités prioritaires
Les solutions de protection sont préparées et mises en place avant la survenance de l’événement perturbateur. Pour être opérationnelles, ces mesures doivent être validées régulièrement.
La principale solution de protection est la mise en place d’un plan de continuité d’activité utilisant :
des solutions de secours informatique ;
des sites de repli des positions de travail.
Les solutions de secours
Reprendre l’activité, c’est basculer les infrastructures techniques vers un site de secours. Aujourd’hui, nombreuses sont les solutions techniques existantes, pour répondre concrètement à toutes les exigences de délai de reprise d’activité issues du BIA. Elles correspondent globalement à trois concepts de base : les secours à froid, actif-passif ou actif-actif. Détaillons cela ensemble !
Le secours dit « à froid »
Le site de secours n’est pas directement utilisable au quotidien ; en cas d’activation, les moyens techniques du site de secours doivent être mis en œuvre, les serveurs remontés (et mis à jour) et les données restaurées à partir des sauvegardes de recours. Le délai de reprise d’activité est au minimum de 48 heures, dépendant de la durée de restauration des sauvegardes.
Le secours dit « actif-passif »
Dans ce cas, le site de secours est opérationnel au quotidien, tenu à jour en permanence, les données sont répliquées (en temps réel ou pas). En cas d’activation, la bascule technique peut être rapide car les moyens informatiques sont « en veille » et activables moyennant des actions de démarrage et de basculement du réseau. Le délai de reprise d’activité est de l’ordre de 24 heures.
Le secours dit « actif- actif »
Les deux sites sont en production (en répartition de charge) et sont le secours l’un de l’autre. Le fait d’être en « production » implique qu’ils sont tenus à jour en permanence, que les données sont répliquées en temps réel. En cas d’activation du PCA, la bascule technique peut être très rapide. Le délai de reprise d’activité peut être inférieur à 4 heures.
Découvrez les recommandations pour ces solutions de secours
Faites attention à la distance entre les deux sites
La réplication synchrone des données entre les deux sites n’est possible techniquement qu’à faible distance (environ 50 km maximum), liée à la vitesse de la lumière dans le verre. Elle peut être onéreuse. Cette solution ne répond pas aux sinistres régionaux qui rendraient indisponibles en même temps ces deux sites proches. Il faut noter que plusieurs entreprises s’affranchissent de ce sinistre régional par la mise en œuvre d’une solution à distance (par exemple > 250 km) « à froid » ou « active – passive », décrites précédemment.
Faites attention à la corruption de données sur le site de production initial
La réplication sur le site de secours peut transmettre instantanément une corruption de données sur ce site de secours lui-même, dont les données ne sont alors plus réutilisables. Un retour arrière à une situation non corrompue est alors forcément nécessaire à partir d’un niveau de sauvegarde adéquat. C’est l’objet de sauvegardes de recours qui sont à différencier des sauvegardes d’exploitation nécessaires pour restaurer un fichier particulier, et des sauvegardes d’archivage nécessaires pour conserver des données à des moments précis, à des fins de preuves légales ou réglementaires.
Retenez l’usage des sauvegardes de « recours »
Elles ont pour objectif de faire face à un sinistre informatique majeur. Elles doivent contenir des images complètes et fiables du système d’information, en vue de pouvoir le reconstruire en partant de zéro : données, applications, fichiers de configuration, procédures techniques, carnet d’exploitation, etc.
Sauvegarder c’est bien, restaurer c’est mieux
Les sauvegardes de recours doivent être fiables et régulièrement éprouvées. Des tests techniques et fonctionnels de restauration partiels ou complets doivent être réalisés régulièrement, pour s’assurer de leur complétude et de leur intégrité.
Quelques dernières bonnes pratiques :
Vous devez éviter de dégrader les systèmes de contrôle et de sécurité. Pour le traitement des opérations manipulant des fonds, il est nécessaire de renforcer les mesures de sécurité, les opérations pouvant être faites en dehors des sécurités normales.
Vous pouvez couvrir les dommages de cette dégradation de fonctionnement par une assurance "perte d’exploitation".
Les solutions de repli
Après avoir découvert les solutions de secours informatique, voyons maintenant les principales solutions de repli des positions de travail.
Les solutions de repli consistent en des moyens alternatifs situés dans d’autres locaux non soumis aux mêmes risques. Elles sont de deux types : repli de niveau 1 ou de niveau 2.
Repli de niveau 1 (opérationnel au mieux sous 4 heures, en général de 24 à 48 heures)
Le site de repli ne doit pas être soumis aux mêmes risques que le site à secourir. Il n’y a pas de distance réglementaire. Le site de repli nécessitant le déplacement du personnel ne doit pas être trop loin. D’où un arbitrage entre les risques à couvrir et la facilité d’accès. Par exemple :
des positions de repli louées contractuellement à une société spécialisée ;
des camions équipés en bureaux déplacés sur le site à secourir dans un délai de 48 heures ouvrées, en France métropolitaine. La société PODIOCOM met à disposition une semi-remorque se déployant pour héberger de 12 à 120 personnes ;
le travail occasionnel à distance (TOAD) : le repli peut être chez soi. Cette solution n’est possible que pour certaines fonctions de l’entreprise. Cela nécessite l’utilisation de positions de travail fournies par l’entreprise, avec les sécurités adéquates ;
des salles de formation, salles de réunion, locaux dans un autre bâtiment de l’entreprise ou du groupe (réquisitionnés après la survenance de l’évènement déclencheur).
Repli de niveau 2 (mis en place après le déclenchement du PCA)
Une fois rendus opérationnels sous un minimum d’un mois, ces sites accueilleront progressivement la totalité des personnels de l’entreprise. C'est par exemple :
des locaux mobiles modulaires, par exemple ALGECO. Ils sont opérationnels sous quinze jours dans un endroit préparé à l’avance (électricité, réseau) ;
un accord de repli mutuel formalisé par un contrat avec une entreprise amie.
Composez votre stratégie
Ayant appréhendé les différents types de solutions, vous allez maintenant élaborer votre stratégie de continuité d’activité.
Vous devez réaliser un cahier des charges comprenant :
une étude technique : l’ensemble des solutions doit faire l’objet d’une étude de faisabilité technique au regard des délais exprimés dans le BIA ;
une étude financière : l’ensemble des solutions internes (charge jour/homme des collaborateurs) et externes doit faire l’objet d’une évaluation chiffrée :
pour les coûts externes, ce chiffrage doit comprendre les investissements initiaux et les coûts récurrents de maintenance de la solution,
les coûts liés au déclenchement du PCA doivent également être pris en compte lorsqu’ils peuvent être évalués ;
une étude des avantages et des inconvénients pour chacune des solutions :
facilité et délai de mise en œuvre,
capacité à évoluer,
facilité de maintien en condition opérationnelle,
facilité à être testée/validée.
Une évaluation régulière de la capacité de continuité d’activité doit être effectuée. Vous devez :
demander que vos fournisseurs soient certifiés ISO 22301 ;
auditer vos fournisseurs ;
obtenir des preuves vérifiées de la viabilité des plans de continuité d’activité des fournisseurs clés, si possible avec des indicateurs mesurables.
Pour terminer en illustrant ce chapitre, reprenons l’exemple du BIA de la DRH vu dans le chapitre 2.2, Le BIA, et dans le chapitre 2.3, L’appréciation des risques.
L’activité la plus critique doit reprendre à H + 4 avec une position de travail. Les autres activités à J + 1 avec treize positions de travail.
Les scénarios de risques à traiter en priorité (risque élevé et probabilité d’occurrence forte) sont :
R1 : bâtiment impraticable.
R3 : cyberattaque.
La stratégie de continuité d’activité décidée par la Direction générale est donc :
R1 : bâtiment impraticable. Les solutions prévention sont suffisantes. Il est décidé de :
mettre en place une solution de protection : le repli dans le site de formation de l’entreprise qui sera réquisitionné. Les locaux du site de repli et ceux de la DRH ne sont pas soumis aux mêmes risques ;
R3 : cyberattaque. Il est décidé de :
renforcer la prévention par un ensemble de mesures, par exemple la sensibilisation de l’ensemble du personnel,
mettre en place un Security Operation Center (SOC), centre de supervision et d'administration de la sécurité qui remonte les cyberattaques,
renforcer la protection en commençant par contrôler fonctionnellement tous les mois, au minimum, les sauvegardes de recours utilisées suite à un sinistre informatique.
En résumé
Vous devez arbitrer entre différents types de solutions pour former votre stratégie :
des solutions de prévention ou de réduction de risque issues de l’appréciation des risques que vous décidez de traiter ;
des solutions de détection et de remontée d’alerte ;
des solutions de protection, de maintien et/ou reprise des activités prioritaires, activités déterminées lors du bilan d’impact sur l’activité (BIA), avec les niveaux de service acceptables.
Vous avez dorénavant défini votre stratégie et analysé vos risques. Vous allez pouvoir mettre votre PCA en action !
