Matt Riley, Sharp : Un plan de continuité d'activité ne se limite pas aux risques majeurs Mise à jour défaillante, panne cloud, fournisseur indisponible : ce sont souvent ces incidents du quotidien, plus que les scénarios catastrophe, qui testent réellement la continuité d’activité d’une entreprise. Matt Riley, responsable européen de la sécurité de l’information chez Sharp, détaille ce qu’implique une préparation efficace, de l’identification des priorités à la désignation des décideurs en amont de toute crise. PAR MATT RILEY, RESPONSABLE EUROPÉEN DE LA SÉCURITÉ DE L’INFORMATION CHEZ SHARP Les cyberattaques massives, les inondations ou les incendies sont souvent les scénarios dans lesquels les entreprises doivent régir pour assurer la continuité d'activité. Cependant, bien plus fréquemment, il s'agit de problèmes plus courants, mais tout aussi critiques. Une mise à jour logicielle défaillante, un service cloud qui s'interrompt, une panne chez un fournisseur, ou un système clé qui se retrouve subitement hors ligne sans raison apparente. Aucun de ces incidents n'a besoin d'être catastrophique pour causer des dommages réels. Quand le système qui gère les livraisons d'une entreprise tombe en panne, l'impact est immédiat, quelle qu'en soit la cause. Deux heures d'indisponibilité un mardi après-midi peuvent coûter plus cher (en commandes perdues et clients mécontents) qu'un incident très médiatisé survenant au cours d'un week-end. La réaction et la reprise sont indissociables Il est important de bien distinguer ces deux notions souvent confondues. La réaction désigne les actions menées dans l'immédiat : contenir le problème et en comprendre les causes. Cette tâche relève généralement des équipes informatiques, qui suivent un plan de gestion des incidents élaboré précisément pour ces situations. La reprise d'activité intervient une fois la situation d'urgence stabilisée. Il s'agit du processus de restauration des systèmes, des données et des services selon un ordre établi, afin que l'entreprise puisse retrouver un fonctionnement normal. La planification de la continuité d'activité couvre ainsi ces deux volets, en fournissant une feuille de route claire pour revenir à la normale une fois la pression initiale retombée. Établir un plan de continuité d'activité commence par l'identification des processus, des systèmes et des fournisseurs dont l'entreprise est dépendante. Tout ne présente pas le même niveau de criticité. Une entreprise doit ainsi prévoir une solution de crise pour son cycle commercial automatisé de bout en bout, tout comme elle doit mesurer sa résilience face à la rupture d'approvisionnement d'un fournisseur stratégique. Cela ne fonctionne que si tout a été anticipé. Une analyse d'impact, qui examine chaque processus clé et imagine son arrêt soudain, révèle des lacunes importantes. L'exercice peut sembler formel, mais l'essentiel est de le mener avant la perturbation, et non pendant. Désigner à l'avance qui décide en cas de crise Si le dirigeant est la seule personne habilitée à autoriser le verrouillage des systèmes en cas de cyberattaque, l'entreprise peut se retrouver paralysée en cas d'indisponibilité. Face à une perturbation, les décisions doivent être prises rapidement et par les bonnes personnes. Le recours à un processus manuel, l'information des clients en cas de retard et la désignation d'un suppléant doivent être définis à l'avance. Statuer à l'avance évite de devoir improviser sous pression. L'entreprise réagit alors immédiatement, sans chercher qui doit intervenir. La communication joue aussi un rôle clé. Il est donc utile de planifier ce que les clients, les partenaires et les autres parties prenantes doivent savoir, et à quel moment. Former les équipes à la continuité d'activité Les équipes doivent avoir la capacité de réagir en cas de systèmes défaillants, qu'il s'agisse d'une solution manuelle, d'un fournisseur alternatif ou simplement de savoir qui contacter et quand. Un plan qui n'a pas été testé ne peut pas être considéré comme opérationnel. Revoir régulièrement le plan, même brièvement, permet de détecter les failles qui paraissent correctes, seulement à première vue, qui peuvent s'avérer critiques en cas de crise. Une perturbation ne doit pas nécessairement être spectaculaire pour entraîner des conséquences. Ce qui détermine la capacité d'une entreprise à faire face, c'est de savoir dès le départ comment opérer la continuité d'activité. Bruno Buffenoir, KIPMI Digital Trust Continuity : Le « wallet augmenté » : le futur du KYC Galaxy Book6 Series : 10 raisons de choisir la performance Le guide de la migration écoresponsable vers Windows 11 IA locale : la nouvelle ère de l’Intelligence artificielle ?