BCP contre DRP : planifier la perturbation et la reprise

La planification de la continuité des activités (BCP) et la planification de la reprise après sinistre (DRP) sont deux disciplines liées, mais distinctes. La BCP vise à maintenir les activités de l’entreprise pendant une perturbation — au moyen de processus manuels, de sites de secours ou de modes de service dégradé. La DRP se concentre spécifiquement sur la restauration des systèmes et de l’infrastructure IT après un sinistre. La BCP constitue le cadre plus large : la DRP en est une composante qui prend en charge l’aspect technologique de la reprise. Les deux plans doivent être documentés, testés et tenus à jour.

La BCP et la DRP sont activées par des événements perturbateurs qui dépassent les capacités habituelles de réponse aux incidents opérationnels. Les déclencheurs comprennent : les attaques par rançongiciel qui chiffrent les systèmes critiques, les catastrophes naturelles (inondation, tremblement de terre ou tornade endommageant le centre de données principal), les défaillances de l’infrastructure (panne de courant prolongée ou panne de l’ISP), les pandémies ou urgences de santé publique (COVID-19 a démontré l’importance des plans de continuité du travail à distance), ainsi que les perturbations de la chaîne d’approvisionnement qui empêchent l’obtention de matériel de remplacement.

Une analyse d’impact métier (BIA) est le document fondamental du BCP et du DRP. Elle identifie : quels processus métier sont Critical et doivent continuer à tout prix, quels processus sont importants mais peuvent tolérer un délai, l’impact financier et opérationnel du downtime pour chaque processus (perte de revenus par heure, sanctions réglementaires, atteinte à la réputation), ainsi que le downtime maximal tolérable pour chaque processus. Les résultats de la BIA déterminent directement les objectifs RTO et RPO qui définissent les exigences de récupération technologique.

Lorsqu’une catastrophe est déclarée, une équipe de gestion de crise (CMT) est activée et assume l’autorité sur la réponse de l’organisation. La CMT comprend la direction, les équipes IT, juridique, communication, HR et les services généraux. La CMT suit une structure de commandement des incidents (ICS) prédéfinie, qui attribue clairement les rôles : qui prend les décisions de récupération, qui communique avec les clients et les médias, qui coordonne les actions avec les fournisseurs et les autorités de régulation, et qui veille au bien-être du personnel. Des structures de commandement claires évitent le chaos et les problèmes de communication qui amplifient l’impact d’une catastrophe.

Le BCP s’appuie généralement sur des sites de secours pour reprendre les opérations lorsque le site principal est indisponible. Un site Hot est une installation dupliquée entièrement équipée, synchronisée en permanence, qui peut prendre le relais en quelques Minutes. Un site Warm dispose de l’équipement et de l’alimentation électrique, mais nécessite des Hours à des Days pour charger les données et configurer les systèmes. Un site Cold est une installation vide disposant de l’alimentation électrique et de la connectivité : l’équipement doit être expédié et installé, ce qui prend des Days à des semaines. Les sites Hot coûtent nettement plus cher, mais réduisent au minimum le downtime des processus Critical.

Les accords d’assistance mutuelle sont des contrats entre organisations visant à fournir de l’aide lors de catastrophes. Les formes courantes comprennent : les accords réciproques (deux organisations conviennent d’héberger mutuellement leurs opérations si l’une d’elles est touchée par une catastrophe), les fournisseurs tiers de Service DR (des entreprises comme Sungard ou IBM proposent des installations de récupération après sinistre sous forme de Service), et les organisations d’assistance mutuelle sectorielles (les entreprises de services publics, les banques et les systèmes de santé disposent de réseaux officiels pour partager leurs ressources lors de catastrophes régionales). Les accords d’assistance mutuelle doivent être révisés chaque année et activés pendant les exercices.

Les plans de communication constituent un élément Critical du BCP. Lors d’une catastrophe, les canaux de communication habituels peuvent être indisponibles (serveurs de messagerie hors service, téléphones du bureau indisponibles). Les plans doivent inclure : des listes de contacts d’urgence avec les numéros de téléphone portables personnels, des canaux de communication hors bande (Slack, instance de secours de Teams, messagerie personnelle), des procédures de notification des clients (pages d’état, réseaux sociaux, courriels directs), les exigences de notification réglementaire (lois relatives à la notification des violations de données, autorités de régulation financière), ainsi que les relations avec les médias pour gérer les déclarations publiques.

La documentation d’un BCP efficace comprend plusieurs éléments essentiels : la BIA (identification des processus Critical et du downtime maximal tolérable), le BCP lui-même (procédures détaillées, étape par étape, pour maintenir les opérations), le DRP (procédures de récupération IT), les répertoires de contacts d’urgence, les listes de contacts des fournisseurs (fournisseurs Cloud, FAI, fournisseurs essentiels), la documentation d’assurance et les procédures de notification réglementaire. Tous les documents doivent être conservés dans des emplacements accessibles lorsque les systèmes principaux sont indisponibles : copies imprimées, stockage Cloud sécurisé avec accès hors ligne ou clés USB détenues par le personnel clé.

COVID a révélé que la plupart des plans BCP ne traitaient pas suffisamment les scénarios de pandémie, dans lesquels la catastrophe n’est pas localisée mais touche simultanément tous les sites. Principaux enseignements : veiller à ce que l’infrastructure VPN puisse évoluer pour prendre en charge 100 % du personnel à distance (et non seulement 20 à 30 %, comme le supposaient les conceptions antérieures à la pandémie), mettre en œuvre des outils de collaboration fondés sur le Cloud qui fonctionnent sans infrastructure sur site, vérifier que les processus Critical peuvent être réalisés entièrement à distance, et garantir la continuité de la chaîne d’approvisionnement en matériel lorsque les bureaux doivent être rapidement aménagés au domicile des employés.

Un BCP qui n’a jamais été testé est un BCP qui échouera lors d’une véritable catastrophe. Les approches de test régulières comprennent : les exercices sur table (parcours fondés sur la discussion avec le personnel clé, sans activation des systèmes), les exercices fonctionnels (activation réelle des arbres de communication et de procédures de récupération partielles), les tests à grande échelle (transfert des opérations vers le site de secours et gestion de l’activité depuis celui-ci pendant une certaine période), ainsi que les revues post-incident, qui mettent à jour le plan en fonction de l’expérience réelle. Les plans doivent être révisés chaque année et mis à jour après toute modification importante de l’infrastructure.

De nombreux secteurs réglementés imposent un BCP et un DRP. HIPAA exige des entités concernées qu’elles disposent de plans d’urgence comprenant la sauvegarde des données, la récupération après sinistre et des procédures de fonctionnement en mode d’urgence. PCI-DSS exige des plans de réponse aux incidents et des procédures de continuité des activités pour les systèmes compris dans le périmètre. FINRA et les autorités de régulation bancaire exigent un BCP détaillé, avec des tests annuels et une transmission aux autorités de régulation. Les assureurs contre les cyberrisques exigent de plus en plus un BCP documenté et testé comme condition de couverture, et peuvent refuser les demandes d’indemnisation si les plans sont absents ou non testés lorsqu’un événement couvert survient.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que le BCP maintient les opérations métier pendant les perturbations, tandis que le DRP restaure les systèmes IT, que l’analyse d’impact métier identifie les processus Critical et le downtime maximal tolérable qui déterminent les exigences de récupération, et que les sites de secours (Hot/Warm/Cold) offrent différents niveaux de rapidité et de coût de récupération pour reprendre les opérations lorsque le site principal est indisponible. Nous allons maintenant étudier le RTO, le RPO et le MTTR, les mesures précises qui quantifient les objectifs de récupération.