Planification de la continuité des activités
La plupart des plans de continuité d’activité que j’examine ont été rédigés une seule fois, en prévision d’une catastrophe qui n’est pas celle la plus susceptible de frapper une entreprise moderne. Ils traitent d’une inondation ou d’un incendie et passent sous silence ce qui se passe lorsqu’un ransomware met hors service vos serveurs de fichiers, que vos sauvegardes s’avèrent elles aussi partiellement chiffrées, et que vous devez décider en temps réel s’il faut payer, reconstruire, ou les deux, tandis que les clients et les employés vous demandent ce qui se passe.
Une continuité d’activité bien menée apporte la réponse à une question concrète : si les systèmes dont vous dépendez tombent en panne, qu’est-ce qui permet à l’entreprise de continuer à fonctionner, et pendant combien de temps pouvez-vous tolérer l’indisponibilité de chaque élément ? Cela varie d’une organisation à l’autre. Un cabinet de services professionnels pourrait survivre une semaine sans son CRM si les téléphones et les e-mails fonctionnaient toujours. Une entreprise de logistique risque de perdre des contrats en quelques heures si son système de gestion des expéditions est hors service. Le plan doit être élaboré en fonction de vos dépendances réelles, et non d’une liste de contrôle générique.
Comment je les élabore
Je commence par une analyse d’impact sur l’activité, en déterminant quelles fonctions sont réellement essentielles, combien de temps chacune peut rester hors service avant de causer un préjudice réel, et ce dont vous avez besoin pour les maintenir en fonctionnement à un niveau réduit. À partir de là, le plan devient plus précis : qui prend la décision de le déclencher, en quoi consiste le plan de communication destiné au personnel, aux clients et aux partenaires, comment les sauvegardes sont-elles validées et restaurées, et à quoi ressemble une solution de secours manuelle pour les processus qui ne peuvent pas simplement attendre l’intervention du service informatique.
Je les élabore pour qu’ils soient utilisés, pas classés. Cela signifie des guides d’intervention concis et exploitables destinés aux personnes qui les mettront réellement en œuvre, et non un document de cent pages qui reste sur un disque partagé. Et j’insiste pour que le plan soit testé, au moins sur papier lors d’un exercice sur table, car un plan de continuité qui n’a jamais été mis en pratique n’est en réalité qu’une hypothèse.
À qui s'adresse ce document ?
Si vous ne disposez pas d’un objectif de temps de reprise documenté pour vos systèmes critiques, si votre « plan de secours » se résume en réalité à « nous avons des sauvegardes » sans processus de restauration testé, ou si un client ou un assureur vous demande un plan de continuité dont vous ne disposez pas actuellement, il vaut la peine d’en élaborer un en bonne et due forme.
Contactez-moi et définissons ensemble ce qui doit absolument continuer à fonctionner en cas de problème.