Le système informatique de votre entreprise peut faire objet à un moment de son exploitation d’une attaque de diverse nature. Il peut être question d’une intrusion sur le système d’information (ransonware, cryptolocker, phishing…), d’un incendie ou d’un événement majeur dont l’occurrence ne peut être prévisible.
Malgré toutes les précautions et mesures de sécurité que vous avez prises, le sinistre est survenu. Savez-vous qu’aucune organisation ne peut vous garantir le risque zéro attaque informatique ? En effet, l’ombre d’une catastrophe informatique plane toujours sur tous les types d’entreprise.
Cependant, face à l’un de ces événements, comment votre entreprise réagirait-elle ? Voilà toute la problématique que tente de résoudre la mise en place d’un plan de reprise d’activité informatique.
Que savoir d’un plan de reprise d’activité informatique et comment l’établir ?
Un plan de reprise d’activité informatique : c’est quoi ?
Conscient que le risque zéro catastrophe informatique n’existe pas, il est opportun de définir un ensemble d’actions et de mécanisme à mettre en place pour faire face à la relance du système d’informations au cas où un sinistre ou un incident majeur arriverait.
Le document ou le manuel dans lequel les actions et mécanismes sont consignés est appelé le Plan de Reprise d’Activité informatique communément désigné PRA informatique.
Le PRA informatique est un document stratégique indispensable pour toutes entreprises. Il y est détaillé toutes les techniques, l’organisation et les mesures sécuritaires à mettre en œuvre pour assurer la relance des activités informatiques dans un bref délai. Dans un plan de relance, tous les types de risques doivent être pris en compte.
Le PRA parfait est impossible d’exister. Chaque entreprise adapte son PRA en fonction de ses activités et de ses exigences. Toutefois, votre PRA doit être élaboré autour des stratégies élémentaires notamment : la prévention, la détection et la correction.
Le PRA informatique doit être claire, transparent et facile d’exécution.
Pourquoi un plan de reprise d’activité ?
Cette question parait anodine. Mais elle est posée par presque toutes les entreprises qui n’ont jamais eu à vivre des cas de sinistres ayant entrainé une cessation temporaire voire définitive des activités informatiques.
Le PRA informatique a pour utilité de prévenir l’occurrence du sinistre informatique d’une part et ensuite faciliter la reprise immédiate des activités informatiques.
Pour assurer la continuité des activités informatiques de votre entreprise, vous devez élaborer un PRA. Savez-vous que disposer un PRA informatique est une garantie sécuritaire pour vos actionnaires et investisseurs ? Un PRA facilite la réduction drastique du temps de retard dans la reprise des activités. Avec un plan de reprise d’activités, vous n’avez plus de décision à prendre pendant le sinistre, il s’agit juste de l’exécution d’un plan préétabli.
Comment mettre en place un PRA ?
Mettre en place un PRA informatique ne peut se faire comme un document banal. En effet, une méthodologie bien définie est recommandée. Il s’agit particulièrement de :
Réaliser un audit de risques et un inventaire des applications
Il faut recenser dans chaque service de l’entreprise, toutes les menaces probables puis procéder à l’évaluation des conséquences probables de ces menaces sur le système d’informations. Faire correspondre pour chaque application, les risques y afférents.
Prioriser les activités et applications à redémarrer
Dès lors que le sinistre survient, toutes les activités informatiques de l’entreprise ne peuvent être démarrées au même instant. Ainsi votre plan de reprise d’activité informatique doit hiérarchiser et prioriser les activités à redémarrer. Il y aura les activités importantes et urgentes à démarrer ; les activités importantes mais non urgentes ; les activités non importantes mais urgentes ainsi que les activités non urgentes et non importantes.
Mettre en place des sauvegardes automatiques et une réplication des données
Dans votre plan, vous devez prévoir des sites de sauvegarde externalisée. La méthode de sauvegarde externalisée permet de disposer vos données et applications sur plusieurs serveurs dans différents datas centers. Ce sont des techniques de sécurisation de vos données. Ce principe est systématique si vous adoptez une plateforme cloud.
Définir ses KPIs et le budget associé au plan de reprise d’activité informatique
Pour un PRA informatique réussi, vous devez définir des indicateurs de performance et un budget de réalisation de la reprise d’activités. Ce sont des éléments qui vous permettront de vous mettre à l’abri du besoin en cas de survenance du risque. La raison d’être du PRA est de vous permettre de relancer sans difficultés majeures votre activité informatique.
Prévoir la gestion de risque
Définissez dans votre PRA, l’organisation qui serait mise en place au moment de la catastrophe. Les différents responsables de la gestion du risque ainsi que leur tâche respective. Des exercices de mise en situation sont conseillés pour que, si un incident survient, chaque personne sache exactement ce qu’elle a à faire.
Définir l’équipement de reprise d’activité
Pour une reprise d’activités informatiques, il est opportun de définir le matériel de base à utiliser. Des services hébergés pourraient être définis. En effet, en plus de sites secours, de la redondance de données entre datacenters et les paramètres de redémarrage des applications ou des machines, des ordinateurs doivent être programmés et facilement accessibles pour avoir une vue sur les cyberattaques par exemple. En cas de dommage matériel, une batterie sans secteur peu être également très utile.
Documenter le plan de reprise d’activité informatique
L’élaboration d’un document devant de servir de guide est nécessaire pour avoir savoir comment agir rapidement si le sinistre surgit et avoir directement toutes les procédures bien détaillées. Le plan de reprise doit être un document bien clair et approuvé par la direction, qui sert également de contrôle.
Tester le PRA informatique
Procéder régulièrement à des tests de votre plan de relance informatique. La finalité des tests est de vous permettre d’actualiser votre plan en apportant des éléments et informations nouveaux. Le test peut être sous la forme de liste de contrôle ; des tests de simulation, des tests parallèles et une interruption complète. Lors du test tout nouvel élément doit systématiquement être pris en compte et être inclut par la suite dans le protocole.
Faire évoluer le PRA
Au cours de l’exploitation de votre système informatique, il est recommandé d’être accompagné par un prestataire informatique qui saura faire évoluer votre système vers un niveau plus élevé. À chaque évolution de votre système informatique, vous devez faire évoluer votre PRA informatique et ainsi garantir l’efficacité de vos protocoles.
