Préface de Monique TINAS - Business Continuity Officer au sein du groupe BPCE - Présidente du Club de la Continuité d’Activité La résilience organisationnelle est devenue une préoccupation essentielle pour toutes les entreprises, indépendamment de leur taille ou de leur envergure, car elles font face à des défis de plus en plus complexes. Les cyberattaques se multiplient dans tous les secteurs et la pandémie récente a montré à quel point une crise peut impacter tous les aspects de la société...
Préface de Monique TINAS - Business Continuity Officer au sein du groupe BPCE - Présidente du Club de la Continuité d’Activité
La résilience organisationnelle est devenue une préoccupation essentielle pour toutes les entreprises, indépendamment de leur taille ou de leur envergure, car elles font face à des défis de plus en plus complexes. Les cyberattaques se multiplient dans tous les secteurs et la pandémie récente a montré à quel point une crise peut impacter tous les aspects de la société. Dans ce contexte, le Système de Management de la Continuité d’Activité (SMCA), sujet au cœur de cet ouvrage, est une solution de choix pour mieux se préparer à de futures épreuves.
Cet ouvrage propose de retracer les grandes étapes qui ont conduit à la création du SMCA, tout en assimilant les définitions essentielles pour bien appréhender le contexte actuel. L’auteur explique de manière accessible les normes et réglementations mondiales et nationales qui jouent un rôle essentiel dans la mise en place d'un SMCA efficace.
L'ouvrage explore ensuite les méthodes les plus performantes pour définir, concevoir et mettre en œuvre un SMCA. La méthode SMCA de Resilient Shield Consulting, qui se conforme aux meilleures pratiques, notamment celles de l’ISO 22301, est particulièrement détaillée. Cette méthode couvre l'ensemble du cycle de vie de la gestion de la continuité d'activité, allant de la conception du SMCA à la rédaction de la politique de continuité, en passant par les dispositions pour assurer l'engagement de la direction et du leadership. Le Bilan d’Impact sur l’Activité (BIA) est un élément central de la méthode, minutieusement détaillé dans cet ouvrage. De même, l'Analyse des Risques est étudiée en détail, permettant ainsi de répondre aux différents scénarios de crise en concevant des stratégies appropriées.
L’ouvrage devient ensuite une mine d’informations pratiques sur les plans de continuité d’activité (PCA) qui formalisent ces stratégies. Il couvre en détail les principales variantes, telles que le plan de continuité du Système d’Information et le Plan de gestion des incidents et des crises, tout en les illustrant avec des exemples concrets.
Enfin, pour garantir l'efficacité du SMCA, des méthodes indispensables telles que les exercices, les audits, la formation et le maintien en conditions opérationnelles sont explorées en profondeur.
Introduction
1. Un peu d’histoire
1.1 Émergence du management
1.2 Le Disaster Recovery Journal (DRJ)
1.3 Le Disaster Recovery Institute (International) : la référence
1.4 Le Business Continuity Institute
1.5 L’euro et l’an 2000
1.6 911
1.7 Canicule de 2003
1.8 La crise financière mondiale de 2008
1.9 Fukushima
1.10 Les vagues terroristes de 2015
1.11 La crise du Covid-19
1.12 La guerre en Ukraine
2. Les concepts de base
2.1 ISO 22301
2.2 Les organismes
2.3 La continuité d'activité
2.4 La gestion de la continuité d'activité
2.5 La résilience
2.6 Les menaces
2.7 Les plans de continuité d'activité (PCA)
2.8 Les exercices PCA
Normes, méthodologies et réglementations
1. Le panorama complet
2. Les normes
2.1 Les normes ISO 22301 et ISO 22313
2.2 Les normes sur la résilience : ISO 22316 et ISO 22336
2.2.1 ISO 22316
2.2.2 ISO 22336
2.3 Les autres normes de la série ISO 22300
2.3.1 ISO 223xx
2.3.2 ISO 22317
2.4 La norme ISO 27001
2.5 Les autres normes ISO
2.6 Les normes du NIST
2.7 Les standards européens
2.8 Les normes françaises
3. Les méthodologies
3.1 La méthode du DRII : l'approche professionnelle pour la continuité d'activité
3.2 La continuité d'activité selon le BCI
3.3 ITIL et la gestion de la continuité d'activité
3.4 Gouvernance et continuité d'activité selon COBIT 2019
3.5 La méthode PCA du Secrétariat général de la défense et de la sécurité nationale (SGDSN)
4. Les réglementations
4.1 Réglementation européenne
4.2 Réglementation française
4.3 Réglementation bancaire
4.3.1 Bâle III et la résilience
4.3.2 ACPR
4.4 Réglementation dans les assurances
4.4.1 Solvabilité II
4.4.2 Les normes de l'IAIS
4.4.3 L'AMRAE
5. La bonne approche pour s'en sortir
Le SMCA
1. Le système de management : définition et principes
2. La roue de Deming
3. Les différents systèmes de management
4. Le système de management appliqué à la continuité d'activité
5. La politique de continuité d'activité
6. Le leadership
7. Comment concevoir un SMCA ?
8. Exemple de structure SMCA
Méthode SMCA de Resilient Shield Consulting
1. Historique de la méthode
2. Description de la méthode SMCA
2.1 Vue d'ensemble
2.1.1 La phase "Planifier"
2.1.2 Première bonne pratique : le PPT
2.1.3 Deuxième bonne pratique : le reengineering
2.1.4 Troisième bonne pratique : une gestion de programme guidée par la politique PCA et le leadership
2.1.5 La phase "Développer"
2.1.6 Quatrième bonne pratique : le BIA avant tout
2.1.7 Cinquième bonne pratique : quatre types de plans
2.1.8 Sixième bonne pratique : quatre types d'exercices
3. Aspects de notre méthode SMCA hors ISO 22301
3.1 Septième bonne pratique : transformation des besoins en scénarii
3.2 Huitième bonne pratique : le cahier des charges
3.3 Neuvième bonne pratique : la fabrication de la solution
3.4 Dixième bonne pratique : piloter le SMCA
4. Utilisation de la méthode
Bonnes pratiques de gestion de projet
1. Nécessité de la gestion de projet
2. Définitions et références en gestion de projet
2.1 Définition d'un projet
2.2 Les normes ISO
2.3 PM Body of Knowledge (PMBok)
2.4 PRINCE2
2.5 Scrum et autres méthodes agiles
3. La gestion de programme
4. Le périmètre du projet
4.1 Définition
4.2 Périmètre physique, géographique et organisationnel
4.3 Périmètre logique
4.4 Périmètre humain
4.5 Périmètre temporel
4.6 Périmètre financier
5. Aspects budgétaires
6. Objectifs, livrables et activités
7. Organisation du projet
7.1 Le sponsor du projet
7.2 Le chef de projet
7.3 Le comité de pilotage
7.4 L'équipe de gestion de projet
8. Les procédures de gestion de projet
9. Formaliser le projet
10. Application de la gestion de projet au SMCA
10.1 Recommandation n° 1 : des réunions efficaces
10.1.1 Types de réunions
10.1.2 Réunion de travail
10.1.3 Réunion d'information
10.1.4 Réunion de coordination
10.2 Recommandation n° 2 : une méthode pragmatique
10.3 Recommandation n° 3 : une approche de prototypage
10.4 Recommandation n° 4 : capitalisez sur les "quick wins"
10.5 Recommandation n° 5 : faites appel aux bons outils
10.6 Recommandation n° 6 : ne sous-estimez pas les tâches
10.7 Recommandation n° 7 : gérez le cycle et le projet
1.1.4 Maximum Tolerable Period of Disruption (MTPD) - durée maximale tolérable de perturbation (DMTP)
1.1.5 Minimum Business Continuity Objectives (MBCO) - objectif minimal de continuité d'activité (OMCA)
1.1.6 Recovery Time Objective (RTO) - objectif de délai de reprise
1.1.7 Recovery Point Objective (RPO) - point de récupération des données
1.2 Le bilan d'impact sur l'activité
2. Principes fondamentaux du BIA
2.1 Principes généraux
2.2 Rôles et responsabilités
2.3 Engagement de la direction et leadership
2.4 Facteurs clés de succès du BIA
2.5 La gestion du projet BIA
2.6 Le BIA initial
2.7 Priorisation des produits et services
2.8 Les impacts
3. Approche du Business Continuity Institute
3.1 Vue d'ensemble
3.2 Les hypothèses de construction
3.3 Le BIA initial
3.4 Le BIA produits et services
3.5 Le BIA processus
3.6 Le BIA activité
4. Bonnes pratiques et recommandations sur le BIA
4.1 Les techniques de récolte d'information
4.2 Le questionnaire BIA
4.3 L'analyse
4.4 Ne visez pas trop haut
4.5 Des échelles de temps pertinentes
4.6 Des entretiens efficaces
4.7 Des ateliers de travail utiles
L'analyse des risques
1. L'analyse des risques dans le contexte de la continuité
2. Une définition du risque
3. Les actifs
4. Les menaces
5. Objectifs et exigences de l'analyse de risques
6. Choisir sa méthode d'analyse des risques
6.1 Mehari
6.2 EBIOS
6.3 OCTAVE
6.4 Arbres de défaillance, arbres d'événements et papillon
6.5 Réseaux de Bayes
6.6 AMDEC
6.7 Toutes les méthodes d'analyse des risques en une section
7. Une méthode suffisante pour l'analyse des risques
7.1 Quelle méthode choisir ?
7.2 Méthode simplifiée d’analyse des risques
Stratégies de continuité d'activité
1. Qu'est-ce qu'une stratégie ?
2. Principes des stratégies de continuité d’activité
2.1 Ne rien faire
2.2 La diversification
2.3 La réplication
2.4 Site de repli ou site de secours
2.5 L’acquisition post-incident
2.6 La sous-traitance
2.6.1 Redondance des ressources
2.6.2 Expertise spécialisée
2.6.3 Flexibilité et capacité d'adaptation
2.6.4 Gestion des risques
2.6.5 Prérequis importants
2.7 L’assurance
3. Une approche plus universelle
4. Méthode de conception des stratégies de continuité d’activité
5. Quelques erreurs à éviter
5.1 Tout miser sur le télétravail
5.2 Copier les tactiques des autres
5.3 Écarter les scénarii peu probables
Le plan de continuité d'activité (PCA)
1. Introduction
2. Contenu du PCA
2.1 Description du contenu
2.2 Format type
3. Les procédures PCA
3.1 Liste (quasi) complète
3.2 Exemples de procédures PCA
3.2.1 Procédure d'activation du plan de continuité d'activité
3.2.2 Procédure de gestion des incidents
3.2.3 Procédure de fonctionnement en mode dégradé
4. Structure PCA proposée par Resilient Shield
5. Processus de conception du PCA
6. Exemple de PCA comptabilité
6.1 Page de garde
6.2 Introduction
6.2.1 Objectif du plan de continuité
6.2.2 Portée du plan
6.3 Évaluation des risques et des impacts
6.3.1 Identification des risques
6.3.2 Évaluation des impacts potentiels
6.4 Responsabilités et rôles
6.4.1 Responsabilités de l'équipe de continuité
6.4.2 Membres clés de l'équipe de continuité
6.5 Équipements et moyens
6.5.1 Site de repli
6.5.2 Télétravail
6.6 Actions de rétablissement
6.6.1 Rétablissement du système comptable
6.6.2 Maintien de la comptabilité quotidienne
6.7 Communication externe
6.7.1 Points de contact désignés
6.7.2 Mise à jour régulière des parties prenantes
6.7.3 Consignes de communication
6.8 Formation et sensibilisation
6.8.1 Formation du personnel
6.9 Exercices et tests
6.9.1 Exercices de simulation
Continuité IT
1. Les stratégies de continuité IT
1.1 Redondance entre centres de données
1.2 Salle de secours informatique
1.2.1 La salle informatique
1.2.2 Les niveaux Tier de l'Uptime Institute
1.2.3 Salle de secours à froid
1.2.4 Salle de secours tiède
1.2.5 Salle de secours à chaud
1.2.6 Le bon choix
1.3 Redondance de réseau
1.4 Sauvegarde et restauration
1.4.1 Principes
1.4.2 Les fournisseurs de solutions de sauvegarde
1.4.3 Sauvegarde en ligne ou dans le cloud
1.5 La virtualisation
1.6 Solutions "as a Service"
1.7 La reprise mobile après sinistre
1.8 Des infrastructures résilientes
1.8.1 Stratégie de cluster
1.8.2 Équilibrage de charge
1.8.3 Le mirroring
1.8.4 Réplication synchrone/asynchrone
1.8.5 La time machine
1.8.6 La tolérance aux pannes
1.8.7 Stockage réseau (NAS, SAN)
1.8.8 La continuité des bases de données
2. Les sites de repli
3. Les plans de la continuité IT
3.1 Définition du PRA
3.2 Les autres plans de secours informatiques
4. La structure du PRA
5. Niveau de détail du PRA
6. L'équipe PRA
7. Rédiger les procédures du PRA
Plan de gestion des incidents et des crises
1. Concepts clés
1.1 L'incident
1.2 La gestion des incidents
1.2.1 Identification et enregistrement des incidents
1.2.2 Classification et priorisation des incidents
1.2.3 Diagnostic et résolution initiale
1.2.4 Escalade et notification
1.2.5 Investigation et résolution
1.2.6 Suivi et communication
1.2.7 Clôture de l'incident
1.3 De l'incident à la crise
1.4 La cellule de crise
1.5 La salle de crise
2. Exemple de plan de gestion de crise
2.1 Page de garde
2.2 Introduction et objectifs du plan de gestion de crise
2.2.1 Présentation de l'entreprise XYZ et de ses activités principales
2.2.2 Objectifs du plan de gestion de crise
2.3 Structure de gestion de crise
2.3.1 Cellule de crise
2.3.2 Annuaire de cellule de crise
2.4 Identification des risques et des scénarios de crise
2.4.1 Scénario d'incendie dans les locaux de l'entreprise
2.4.2 Scénario de cyberattaque paralysant le système informatique
2.4.3 Scénario de pandémie entraînant des fermetures et des restrictions de déplacement
2.5 Système d'alerte interne
2.5.1 Canaux de communication multiples
2.5.2 Procédure d'alerte
2.6 Gestion des ressources
2.7 Communication et relations publiques
2.7.1 Principes
2.7.2 Méthode
2.7.3 Ce qu'il faut faire et ce qu'il ne faut pas faire
2.7.4 Exemple de plan de communication de crise
2.8 Gestion des actions et des décisions
2.9 Formation, exercices et tests
Les exercices de continuité d'activité
1. Les exercices sont-ils nécessaires ?
2. Les différents types d'exercices
2.1 Les exercices de relecture
2.2 La simulation sur documents
2.3 La simulation annoncée sur périmètre restreint
2.4 La simulation annoncée sur périmètre étendu
2.5 La simulation avec partenaires
2.6 La simulation non annoncée
2.7 La situation réelle
3. La conception d'un plan d'exercices
3.1 La mise en scène de l'exercice
3.1.1 Le scénario
3.1.2 La mise en scène
3.1.3 Le script
3.1.4 Exemple de script
3.2 Les acteurs et l'équipe de tournage
3.2.1 Les organisateurs
3.2.2 Les acteurs
3.2.3 De vrais acteurs
3.2.4 L'équipe technique
3.3 La planification
4. Silence ! On tourne
4.1 Contrôler les dérives
4.2 Gérer les situations de blocage
4.3 Enregistrement de l'exercice
4.4 Documenter les événements et les résultats
5. Le rapport d'exercices et son utilisation
6. Plan d'exercices PCA
Maintien en conditions opérationnelles du SMCA
1. La maintenance ou les maintenances ?
2. La maintenance préventive
3. La maintenance corrective
4. La maintenance prédictive
5. La maintenance conditionnelle
6. Tableaux de bord et KPI
6.1 Principes
6.2 Exemples de KPI
7. Processus et plan de maintenance type
7.1 Processus
7.2 Plan de maintenance type
Audit SMCA et revue de direction
1. Généralités sur l’audit
2. Audit du SMCA
3. Rapport d'audit SMCA
4. Techniques d'audit
4.1 Revue documentaire
4.2 Entretiens - Explorer les pratiques et les défis
4.3 Observation sur site
4.4 Échantillonnage
4.5 Analyse comparative
4.6 Test de scénarios
5. Intégration dans le plan d'audit
6. Application des techniques d'audit
7. Revue de direction
Formation et sensibilisation au SMCA
1. Les nécessités imposées par la norme et les méthodes
1.1 Formation et sensibilisation : quelles différences ?
1.2 ISO 22301 et formation
1.3 La formation SMCA dans les méthodologies
1.3.1 La formation selon le BCI
1.3.2 La position du DRII
2. La planification de la sensibilisation et de la formation
2.1 Planification de la sensibilisation au SMCA
2.2 Planification de la formation au SMCA
3. Les supports
3.1 Supports de sensibilisation
3.2 Supports de formation
3.3 Thèmes de sensibilisation ou de formation
La résilience
1. Une brève histoire de la résilience
1.1 La résilience des matériaux : rebondir face aux contraintes
1.2 La résilience en psychologie
1.3 La résilience en écologie
1.4 La résilience communautaire
1.5 La résilience en ingénierie
1.6 La résilience organisationnelle
2. Les modèles de résilience organisationnelle
2.1 Le modèle du CERT
2.2 La norme ISO 22316
2.3 La norme BS 65000
3. Une nouvelle approche de la résilience
3.1 La résilience en tant que SMI
3.1.1 Le concept de SMI
3.1.2 Le SMRO
3.2 Similitudes entre résilience organisationnelle et humaine
3.3 L'agilité
3.4 Vers une nouvelle méthodologie
3.4.1 Périmètre de la résilience
3.4.2 Management de la résilience
3.4.3 Création du cadre de la résilience
Perspectives
1. Vous êtes prêt
2. L'outillage du SMCA
3. L'évolution des normes sur la résilience
4. Le SMCA, l'Intelligence Artificielle et la réalité virtuelle
5. La gestion de la continuité de la chaîne logistique
6. La cyber-résilience
Conclusion
1. La boucle est bouclée
2. Et pourtant
Bibliographie
Index
Stéphane HESSCHENTIER
Stéphane HESSCHENTIER, expert en gestion de la continuité d'activité, cumule près de 30 ans d'expérience et détient la certification ISO 22301 Lead Implémenter. Membre du Disaster Recovery Institute International et du Business Continuity Institute depuis 23 ans, il a collaboré avec des cabinets de conseil internationaux et des clients à l'échelle mondiale. Il a développé plusieurs méthodes de conception de dispositifs de gestion de la continuité d’activité et la dernière en date, SMCA RSC, se distingue comme la plus aboutie. En 2014, il a fondé Resilient Shield Consulting, une entreprise axée sur l'innovation pour la maîtrise des risques et la résilience organisationnelle.
Editions ENI Livres | Vidéos | e-Formations
