Renforcer la résilience d’une organisation est un enjeu lié au métier, plus qu’au service informatique. Pour Loris Rilli, Senior Advisory Consultant au sein d’Anidris x Easi, il est avant tout nécessaire de comprendre les risques auxquels l’activité est exposée, leurs impacts et les priorités de l’organisation. Au départ de ces éléments, diverses mesures pourront être envisagées et mises en œuvre, comme des plans de continuité et de reprise efficaces, soutenus par des solutions de sauvegarde et de gestion des données, telles que celles proposées par Cohesity.

 

On parle aujourd’hui plus de résilience que de cybersécurité. En quoi le renforcement des exigences réglementaires invitent les organisation à faire évoluer leur approche des risques ?

Loris Rilli : NIS2, DORA et plus largement les nouvelles exigences réglementaires poussent les organisations à passer d’une logique essentiellement réactive et centrée sur les contrôles à une approche davantage fondée sur les risques. La réglementation agit comme un catalyseur. Cependant, la résilience opérationnelle ne peut pas se limiter à une question de conformité. Elle doit s’envisager au cœur de la stratégie de l’entreprise, en mettant en œuvre, suivant le principe de proportionnalité, des moyens correspondant aux risques encourus.

L’exigence de disponibilité d’une salle de marché, à partir de laquelle des transactions s’opèrent en continu, n’est pas la même que celle associée à une activité de reporting mensuel.

 

La résilience, dès lors, doit être abordée au départ des risques liés à l’activité…

Oui. Longtemps, la gestion des enjeux de cybersécurité ou de résilience a été confiée à l’informatique. Aujourd’hui, les approches évoluent. Pour garantir la résilience de l’entreprise, il faut comprendre ce qui est réellement important pour l’activité, afin de pouvoir déterminer les moyens à mettre en œuvre pour garantir la disponibilité ou la restauration des fonctions essentielles.

L’IT doit répondre à un besoin défini par le business. La question de l’appétit au risque, notamment, relève du management et du board. Ce n’est pas quelque chose que l’IT peut déterminer seule. Les mesures techniques doivent découler de ces décisions, et non l’inverse.

 

Cette réflexion, en outre, ne permet-elle pas d’allouer plus efficacement les moyens mis en œuvre ?

Tout à fait. Sans cette analyse, on a tendance à vouloir tout protéger en suivant les mêmes critères. Cela conduit potentiellement à des environnements lourds et complexes, sans forcément mieux répondre aux véritables priorités. À l’inverse, identifier ce qui est essentiel permet de concentrer les ressources et les budgets là où ils apportent réellement de la valeur.

 

Comment déterminer ce qui est prioritaire pour l’activité ?

Pour cela, on procède à ce que l’on appelle le Business Impact Analysis, le BIA. Cette analyse va plus loin que les éléments de RTO et RPO, traditionnellement associés aux politiques de sauvegarde. Elle cherche à comprendre comment l’impact d’une interruption évolue dans le temps et à partir de quel moment cette interruption devient inacceptable pour l’organisation..

Un service peut, par exemple, rester indisponible plusieurs jours avec très peu de conséquences, puis devenir extrêmement critique à partir du cinquième jour. Pour un autre, l’impact peut augmenter de manière beaucoup plus linéaire. Le BIA doit permettre de décrire ce comportement dans le temps.

C’est cette compréhension qui permet ensuite de construire des Business Continuity Plans, Disaster Recovery Plans et Cyber Recovery Plans cohérents.

 

Quels objectifs prioritaires ces plans de continuité et de restauration doivent-ils poursuivre ?

L’objectif est de maintenir un niveau minimal d’activité, même lorsque l’IT est indisponible. Un plan de continuité doit permettre de gagner du temps. Dans certaines activités, des procédures manuelles ou alternatives permettent de continuer à fonctionner temporairement sans l’ensemble des services informatiques. Dans d’autres, c’est impossible.

L’enjeu consiste donc à savoir comment maintenir les services essentiels pendant que les équipes techniques travaillent à une reprise sûre. C’est cette articulation entre continuité du business, gestion de crise et reprise technologique qu’il faut préparer.

 

Parce que « bien restaurer » peut exiger du temps…

Pendant longtemps, l’objectif de l’IT était principalement de faire revenir l’environnement le plus vite possible. Or, face à une compromission, la vitesse n’est pas toujours la première priorité. Si une donnée a été compromise, la répliquer de manière synchrone sur plusieurs environnements ne résout rien. Avant de remettre un système en production, il faut déterminer ce qui est sain, identifier le moment de la compromission et savoir avec quelles données il est raisonnable de redémarrer.

Parfois, le management peut même décider d’accepter temporairement une situation dégradée afin de garantir une restauration plus sûre à terme.

 

Cette évaluation des risques s’appuie souvent sur des scénarios. Mais peut-on réellement tout prévoir ?

Non. C’est pourquoi les plans doivent être suffisamment agiles pour couvrir des scénarios qui n’ont pas été envisagés.

Au sein d’Anidris x Easi, nous préconisons notamment de travailler avec des arbres décisionnels plutôt qu’avec des procédures qu’il suffirait de suivre ligne après ligne. Il faut conserver une vue d’ensemble, savoir qui dispose de l’information et surtout qui a l’autorité pour prendre telle ou telle décision. C’est un enjeu de gouvernance autant que de technologie.

 

Dans ce dispositif, quel rôle joue une solution telle que Cohesity ?

Les technologies de sauvegarde et de gestion des données sont des building blocks indispensables. Sans une copie sécurisée et exploitable, certains scénarios de reprise deviennent tout simplement impossibles. Toutefois, la politique de sauvegarde doit elle-même découler des choix de gouvernance et des priorités définies par le métier. Combien de temps conserver les données ? Quelles données doivent pouvoir être restaurées très rapidement ? Quel niveau de perte est acceptable pour chaque service ? Sans compréhension des besoins métiers, on risque de sauvegarder énormément de données et de rendre l’environnement inutilement lourd, y compris au moment de restaurer.

Les données, certes, sont indispensables à l’activité, mais elles ne constituent pas sa finalité. Elles sont un moyen de réactiver et de remettre en fonctionnement les services de l’organisation. La question n’est pas uniquement de savoir comment récupérer ses données. Il faut savoir comment l’entreprise va continuer à fonctionner, quels services doivent être restaurés en priorité et dans quelles conditions ils peuvent l’être en toute sécurité.