Le contexte tumultueux de ces derniers mois nous a rappelé que toute organisation, publique comme privée, pouvait être confrontée à des crises (économiques, sociales, sanitaires, informatique et cybersécurité…). Et les conclusions tirées de la pandémie de covid-19 sont sans appel : les structures qui avaient anticipé la gestion de ce type d’événements ont été moins impactées par la crise que celles qui ont dû s’adapter en urgence.
Parce qu’il permet de maintenir les activités essentielles de l’organisation lors d’une crise, pour y faire face le plus sereinement possible, le plan de continuité d’activité constitue un élément stratégique.
Qu’est-ce qu’un plan de continuité d’activité ? Que doit-il contenir ? Comment le mettre en place ? Toutes les réponses dans cet article !
Qu’est-ce qu’un plan de continuité d’activité ?
Plan de continuité d’activité : définition
Le plan de continuité d’activité, ou PCA, correspond à un document décrivant la stratégie et les processus à adopter lors de l’apparition d’une crise. Ce plan d’action permet d’assurer la continuité des activités opérationnelles essentielles de l’entreprise, sur un mode dégradé le cas échéant. L’entreprise est ainsi en mesure de répondre à ses obligations externes et internes malgré la période de crise traversée. Le PCA prévoit également les mesures de reprise d’activité, pour un retour à la normale une fois la crise passée.
Le PCA s’inscrit dans une démarche globale de gestion des risques. La nature des crises pouvant être variée, un pays ou une organisation peut avoir plusieurs plans de continuité d’activité : incendie, sanitaire, économique, climatique, militaire mais aussi… informatique.
Parfois négligé, le plan de continuité informatique peut s’avérer vital pour une entreprise. Sachant que plus d’une entreprise sur deux est victime d’une cyberattaque, savoir réagir à ce type d’événement est tout aussi important que savoir réagir à un incendie, par exemple. Un PCA informatique permet alors de garantir la continuité des activités et la reprise de service en cas de sinistre touchant le système informatique de l’organisation.
PRA, PRI, PCI : définitions complémentaires
- PCI : Plan de Continuité Informatique. Le PCI est le volet du PCA concernant les systèmes d’information.
- PRA : Plan de Reprise d’Activité. Le PRA est un plan détaillé qui permet de rétablir les systèmes ou infrastructures après sinistre. Il est complémentaire au PCA.
- PRI : Plan de Reprise Informatique. Le PRI est le volet du PRA concernant les systèmes d’information.
Pourquoi réaliser un plan de continuité d’activité ?
Si elles ne l’ont pas anticipé, 43% des entreprises ferment à l’occasion d’un sinistre important (étude du Disaster Recovery Institute International).
L’interruption de l’activité d’une organisation peut avoir des conséquences variées : financières, réputationnelles, juridiques, commerciales… Les organisations, publiques comme privées, ont donc tout intérêt à mettre en place un plan de continuité d’activité (voire plusieurs) et ce, quel que soit le type de PCA (informatique ou autre). L’enjeu consiste à être capable d’anticiper toute nature de crise pouvant impacter le bon fonctionnement des activités. Disposer d’un PCA pour chaque situation de crise potentielle permet alors de :
- Être prêt en cas de crise (ne dit-on pas : « un problème identifié est à moitié résolu » ?) ;
- Eviter de prendre des décisions (inadaptées) dans l’urgence ;
- Gagner du temps dans la mise en place de mesures de protection et de réparation ;
- Limiter les conséquences de la crise sur l’activité de l’organisation ;
- Rassurer les clients, administrés, collaborateurs, partenaires…
Que contient un plan de continuité d’activité ?
Un plan de continuité d’activité couvre la gestion de crise, du stratégique à l’opérationnel. Il doit ainsi contenir :
- Le contexte : objectifs et obligations de l’organisation ;
- Les risques : identification des crises potentielles ;
- L’analyse d’impact : conséquences de la crise sur l’entreprise ;
- Les mesures préventives : actions permettant de réduire les conséquences d’une crise, en amont de celle-ci ;
- La stratégie de continuité d’activité : gouvernance du risque ;
- Les responsabilités : identification des acteurs de l’organisation impliqués dans le PCA et définition de leur rôle en cas de crise ;
- Le dispositif de gestion de crise : définition d’un plan d’action à suivre en cas de crise ;
- Le processus de retour à la normale : définition d’un plan de reprise totale des activités ;
- La maintenance opérationnelle du plan : évaluation régulière de l’efficacité du PCA.
Zoom sur le PCI : comment réaliser un plan de continuité d’activité informatique en 5 étapes ?
1. Analyser les risques
La première étape consiste à répertorier les risques susceptibles d’impacter le système d’information de l’organisation : ransomware, fuite de données, virus, logiciel espion, panne… Il convient ensuite d’analyser les conséquences de ces risques et de déterminer l’impact maximum tolérable ainsi que le temps maximal accepté d’indisponibilité du SI pour préserver la sécurité de l’organisation.
2. Cartographier les données à protéger
Une fois les risques analysés, il est nécessaire de cartographier les données à protéger, en fonction de leur valeur pour l’organisation. Pour déterminer cette valeur, trois niveaux peuvent être utilisés :
- La donnée stratégique ou confidentielle : elle est prioritaire et doit absolument être protégée ;
- La donnée sensible : elle est importante mais ne compromet pas la continuité de l’activité de l’organisation ;
- La donnée basique : elle est utile mais non indispensable au bon fonctionnement de l’organisation.
Cette étape facilite la priorisation des actions à mener en cas de sinistre informatique.
3. Etablir une stratégie pour assurer la continuité du SI
La troisième étape du PCA consiste à définir une stratégie de (re)sécurisation et déterminer les moyens et mesures à déployer en cas de crise, pour assurer la continuité du système d’information.
- Si un sinistre touche le SI, de quelles ressources (matérielles, humaines, financières…) l’organisation a-t-elle besoin pour limiter les risques ?
- Quelles actions doivent être déployées pour protéger ou restaurer les données stratégiques ?
- Comment permettre la continuité de l’activité de l’organisation malgré le sinistre ?
- Quels processus permettront de rétablir le système informatique pour un retour à la normale ?
- Etc.
Cette étape vise à élaborer un plan d’action, point par point, pour rédiger une feuille de route guidant l’organisation en cas de sinistre.
4. Réduire les vulnérabilités
Le plan de continuité informatique ne s’arrête pas à la rédaction du plan d’action. Il nécessite de mettre en place des mesures préventives qui permettent de réduire les vulnérabilités pour limiter les dégâts en cas de sinistre. Processus de sauvegarde de données, mise en place de systèmes de secours, sensibilisation des collaborateurs…
5. Tester régulièrement le PCA informatique
Enfin, le PCA doit faire l’objet de tests et d’exercices réguliers. Ceux-ci sont indispensables pour garantir l’efficacité et la pérennité du plan de continuité informatique. Ils permettent notamment de :
- S’assurer que les moyens et mesures prévus par le PCA sont toujours adaptés ;
- Prendre en compte de nouvelles menaces, notamment cybercriminelles ;
- Mettre à jour la stratégie de continuité de l’organisation, pour répondre à de nouveaux enjeux et couvrir de nouveaux risques ;
- Soumettre l’organisation à des stress-tests en simulant une cyber-attaque ou une défaillance matérielle ;
- Maintenir un niveau de compétence suffisant sur les opérations à effectuer lors d’un sinistre informatique.
Vous savez désormais comment réaliser un plan de continuité d’activité informatique ! Pour autant, mettre en place un PCI et, plus globalement, garantir la sécurité d’un système d’information n’est pas toujours chose aisée. Cela mobilise des compétences spécifiques, demande du temps et nécessite une connaissance fine des enjeux et avancées technologiques. Aussi, n’hésitez pas à vous faire accompagner dans la sécurisation de votre SI en faisant appel, par exemple, à une société de conseil telle que Netsystem.
Expert des Systèmes d’Information et de la cybersécurité, Netsystem intervient auprès d’organisations privées et publiques. Nos consultants expérimentés sont en mesure de s’adapter à chaque contexte, problématique économique, enjeu métier et objectif de sécurité. Plus que de vous accompagner dans la réalisation d’un PCA, Netsystem vous épaule dans la mise en place de bonnes pratiques pour une sécurité optimale de vos systèmes d’information. Vous souhaitez en savoir plus ? Contactez-nous !
