Préface de Monique TINAS - Business Continuity Officer au sein du groupe BPCE - Présidente du Club de la Continuité d’Activité

La résilience organisationnelle est devenue une préoccupation essentielle pour toutes les entreprises, indépendamment de leur taille ou de leur envergure, car elles font face à des défis de plus en plus complexes. Les cyberattaques se multiplient dans tous les secteurs et la pandémie récente a montré à quel point une crise peut impacter tous les aspects de la société. Dans ce contexte, le Système de Management de la Continuité d’Activité (SMCA), sujet au cœur de cet ouvrage, est une solution de choix pour mieux se préparer à de futures épreuves.   

Cet ouvrage propose de retracer les grandes étapes qui ont conduit à la création du SMCA, tout en assimilant les définitions essentielles pour bien appréhender le contexte actuel. L’auteur explique de manière accessible les normes et réglementations mondiales et nationales qui jouent un rôle essentiel dans la mise en place d'un SMCA efficace.   

L'ouvrage explore ensuite les méthodes les plus performantes pour définir, concevoir et mettre en œuvre un SMCA. La méthode SMCA de Resilient Shield Consulting, qui se conforme aux meilleures pratiques, notamment celles de l’ISO 22301, est particulièrement détaillée. Cette méthode couvre l'ensemble du cycle de vie de la gestion de la continuité d'activité, allant de la conception du SMCA à la rédaction de la politique de continuité, en passant par les dispositions pour assurer l'engagement de la direction et du leadership. Le Bilan d’Impact sur l’Activité (BIA) est un élément central de la méthode, minutieusement détaillé dans cet ouvrage. De même, l'Analyse des Risques est étudiée en détail, permettant ainsi de répondre aux différents scénarios de crise en concevant des stratégies appropriées.   

L’ouvrage devient ensuite une mine d’informations pratiques sur les plans de continuité d’activité (PCA) qui formalisent ces stratégies. Il couvre en détail les principales variantes, telles que le plan de continuité du Système d’Information et le Plan de gestion des incidents et des crises, tout en les illustrant avec des exemples concrets.   

Enfin, pour garantir l'efficacité du SMCA, des méthodes indispensables telles que les exercices, les audits, la formation et le maintien en conditions opérationnelles sont explorées en profondeur. 

Téléchargements

• Des fichiers complémentaires (2 925 Ko)

Introduction

1. Préface
2. Avant-propos
3. Un peu d’histoire
   1. 1. Émergence du management
   2. 2. Le Disaster Recovery Journal (DRJ)
   3. 3. Le Disaster Recovery Institute (International) :la référence
   4. 4. Le Business Continuity Institute
   5. 5. L’euro et l’an 2000
   6. 6. 911
   7. 7. Canicule de 2003
   8. 8. La crise financière mondiale de 2008
   9. 9. Fukushima
   10. 10. Les vagues terroristes de 2015
   11. 11. La crise du Covid-19
   12. 12. La guerre en Ukraine
4. Les concepts de base
   1. 1. ISO 22301
   2. 2. Les organismes
   3. 3. La continuité d’activité
   4. 4. La gestion de la continuité d’activité
   5. 5. La résilience
   6. 6. Les menaces
   7. 7. Les plans de continuité d’activité (PCA)
   8. 8. Les exercices PCA

Normes, méthodologies et réglementations

1. Le panorama complet
2. Les normes
   1. 1. Les normes ISO 22301 et ISO 22313
   2. 2. Les normes sur la résilience : ISO22316 et ISO 22336
      1. a. ISO 22316
      2. b. ISO 22336
   3. 3. Les autres normes de la série ISO 22300
      1. a. ISO 223xx
      2. b. ISO 22317
   4. 4. La norme ISO 27001
   5. 5. Les autres normes ISO
   6. 6. Les normes du NIST
   7. 7. Les standards européens
   8. 8. Les normes françaises
3. Les méthodologies
   1. 1. La méthode du DRII : l’approcheprofessionnelle  pour la continuité d’activité
   2. 2. La continuité d’activité selon leBCI
   3. 3. ITIL et la gestion de la continuité d’activité
   4. 4. Gouvernance et continuité d’activité selonCOBIT 2019
   5. 5. La méthode PCA du Secrétariat généralde la défense et de la sécurité nationale(SGDSN)
4. Les réglementations
   1. 1. Réglementation européenne
   2. 2. Réglementation française
   3. 3. Réglementation bancaire
      1. a. Bâle III et la résilience
      2. b. ACPR
   4. 4. Réglementation dans les assurances
      1. a. Solvabilité II
      2. b. Les normes de l’IAIS
      3. c. L’AMRAE
5. La bonne approche pour s'en sortir

Le SMCA

1. Le système de management : définition et principes
2. La roue de Deming
3. Les différents systèmes de management
4. Le système de management appliqué à la continuité d'activité
5. La politique de continuité d'activité
6. Le leadership
7. Comment concevoir un SMCA ?
8. Exemple de structure SMCA

Méthode SMCA de Resilient Shield Consulting

1. Historique de la méthode
2. Description de la méthode SMCA
   1. 1. Vue d’ensemble
      1. a. La phase "Planifier"
      2. b. Première bonne pratique : le PPT
      3. c. Deuxième bonne pratique : le reengineering
      4. d. Troisième bonne pratique : une gestionde programme guidée par la politique PCA et le leadership
      5. e. La phase "Développer"
      6. f. Quatrième bonne pratique : le BIAavant tout
      7. g. Cinquième bonne pratique : quatretypes de plans
      8. h. Sixième bonne pratique : quatretypes d’exercices
3. Aspects de notre méthode SMCA hors ISO 22301
   1. 1. Septième bonne pratique : transformationdes besoins en scénarii
   2. 2. Huitième bonne pratique : le cahierdes charges
   3. 3. Neuvième bonne pratique : la fabricationde la solution
   4. 4. Dixième bonne pratique : piloterle SMCA
4. Utilisation de la méthode

Bonnes pratiques de gestion de projet

1. Nécessité de la gestion de projet
2. Définitions et références en gestion de projet
   1. 1. Définition d’un projet
   2. 2. Les normes ISO
   3. 3. PM Body of Knowledge (PMBok)
   4. 4. PRINCE2
   5. 5. Scrum et autres méthodes agiles
3. La gestion de programme
4. Le périmètre du projet
   1. 1. Définition
   2. 2. Périmètre physique, géographiqueet organisationnel
   3. 3. Périmètre logique
   4. 4. Périmètre humain
   5. 5. Périmètre temporel
   6. 6. Périmètre financier
5. Aspects budgétaires
6. Objectifs, livrables et activités
7. Organisation du projet
   1. 1. Le sponsor du projet
   2. 2. Le chef de projet
   3. 3. Le comité de pilotage
   4. 4. L’équipe de gestion de projet
8. Les procédures de gestion de projet
9. Formaliser le projet
10. Application de la gestion de projet au SMCA
    1. 1. Recommandation n° 1 : des réunionsefficaces
       1. a. Types de réunions
       2. b. Réunion de travail
       3. c. Réunion d’information
       4. d. Réunion de coordination
    2. 2. Recommandation n° 2 : une méthodepragmatique
    3. 3. Recommandation n° 3 : une approche de prototypage
    4. 4. Recommandation n° 4 : capitalisez sur les"quick wins"
    5. 5. Recommandation n° 5 : faites appel aux bonsoutils
    6. 6. Recommandation n° 6 : ne sous-estimez pasles tâches
    7. 7. Recommandation n° 7 : gérez le cycleet le projet

Le bilan d'impact sur les activités (BIA)

1. Définitions préliminaires
   1. 1. Quelques définitions pour comprendre le BIA
      1. a. Les activités
      2. b. L’impact
      3. c. Maximum Acceptable Outage (MAO) -  duréemaximale d’interruption acceptable (DMIA)
      4. d. Maximum Tolerable Period of Disruption (MTPD) - duréemaximale tolérable de perturbation (DMTP)
      5. e. Minimum Business Continuity Objectives (MBCO) - objectifminimal de continuité d’activité (OMCA)
      6. f. Recovery Time Objective (RTO) - objectif de délaide reprise
      7. g. Recovery Point Objective (RPO) - point de récupérationdes données
   2. 2. Le bilan d’impact sur l’activité
2. Principes fondamentaux du BIA
   1. 1. Principes généraux
   2. 2. Rôles et responsabilités
   3. 3. Engagement de la direction et leadership
   4. 4. Facteurs clés de succès du BIA
   5. 5. La gestion du projet BIA
   6. 6. Le BIA initial
   7. 7. Priorisation des produits et services
   8. 8. Les impacts
3. Approche du Business Continuity Institute
   1. 1. Vue d’ensemble
   2. 2. Les hypothèses de construction
   3. 3. Le BIA initial
   4. 4. Le BIA produits et services
   5. 5. Le BIA processus
   6. 6. Le BIA activité
4. Bonnes pratiques et recommandations sur le BIA
   1. 1. Les techniques de récolte d’information
   2. 2. Le questionnaire BIA
   3. 3. L’analyse
   4. 4. Ne visez pas trop haut
   5. 5. Des échelles de temps pertinentes
   6. 6. Des entretiens efficaces
   7. 7. Des ateliers de travail utiles

L'analyse des risques

1. L'analyse des risques dans le contexte de la continuité
2. Une définition du risque
3. Les actifs
4. Les menaces
5. Objectifs et exigences de l'analyse de risques
6. Choisir sa méthode d'analyse des risques
   1. 1. Mehari
   2. 2. EBIOS
   3. 3. OCTAVE
   4. 4. Arbres de défaillance, arbres d’événementset papillon
   5. 5. Réseaux de Bayes
   6. 6. AMDEC
   7. 7. Toutes les méthodes d’analyse des risquesen une section
7. Une méthode suffisante pour l'analyse des risques
   1. 1. Quelle méthode choisir ?
   2. 2. Méthode simplifiée d’analysedes risques

Stratégies de continuité d'activité

1. Qu'est-ce qu'une stratégie ?
2. Principes des stratégies de continuité d’activité
   1. 1. Ne rien faire
   2. 2. La diversification
   3. 3. La réplication
   4. 4. Site de repli ou site de secours
   5. 5. L’acquisition post-incident
   6. 6. La sous-traitance
      1. a. Redondance des ressources
      2. b. Expertise spécialisée
      3. c. Flexibilité et capacité d’adaptation
      4. d. Gestion des risques
      5. e. Prérequis importants
   7. 7. L’assurance
3. Une approche plus universelle
4. Méthode de conception des stratégies de continuité d’activité
5. Quelques erreurs à éviter
   1. 1. Tout miser sur le télétravail
   2. 2. Copier les tactiques des autres
   3. 3. Écarter les scénarii peu probables

Le plan de continuité d'activité (PCA)

1. Introduction
2. Contenu du PCA
   1. 1. Description du contenu
   2. 2. Format type
3. Les procédures PCA
   1. 1. Liste (quasi) complète
   2. 2. Exemples de procédures PCA
      1. a. Procédure d’activation du plan de continuité d’activité
      2. b. Procédure de gestion des incidents
      3. c. Procédure de fonctionnement en mode dégradé
4. Structure PCA proposée par Resilient Shield
5. Processus de conception du PCA
6. Exemple de PCA comptabilité
   1. 1. Page de garde
   2. 2. Introduction
      1. a. Objectif du plan de continuité
      2. b. Portée du plan
   3. 3. Évaluation des risques et des impacts
      1. a. Identification des risques
      2. b. Évaluation des impacts potentiels
   4. 4. Responsabilités et rôles
      1. a. Responsabilités de l’équipe de continuité
      2. b. Membres clés de l’équipe de continuité
   5. 5. Équipements et moyens
      1. a. Site de repli
      2. b. Télétravail
   6. 6. Actions de rétablissement
      1. a. Rétablissement du système comptable
      2. b. Maintien de la comptabilité quotidienne
   7. 7. Communication externe
      1. a. Points de contact désignés
      2. b. Mise à jour régulière desparties prenantes
      3. c. Consignes de communication
   8. 8. Formation et sensibilisation
      1. a. Formation du personnel
   9. 9. Exercices et tests
      1. a. Exercices de simulation

Continuité IT

1. Les stratégies de continuité IT
   1. 1. Redondance entre centres de données
   2. 2. Salle de secours informatique
      1. a. La salle informatique
      2. b. Les niveaux Tier de l’Uptime Institute
      3. c. Salle de secours à froid
      4. d. Salle de secours tiède
      5. e. Salle de secours à chaud
      6. f. Le bon choix
   3. 3. Redondance de réseau
   4. 4. Sauvegarde et restauration
      1. a. Principes
      2. b. Les fournisseurs de solutions de sauvegarde
      3. c. Sauvegarde en ligne ou dans le cloud
   5. 5. La virtualisation
   6. 6. Solutions "as a Service"
   7. 7. La reprise mobile après sinistre
   8. 8. Des infrastructures résilientes
      1. a. Stratégie de cluster
      2. b. Équilibrage de charge
      3. c. Le mirroring
      4. d. Réplication synchrone/asynchrone
      5. e. La time machine
      6. f. La tolérance aux pannes
      7. g. Stockage réseau (NAS, SAN)
      8. h. La continuité des bases de données
2. Les sites de repli
3. Les plans de la continuité IT
   1. 1. Définition du PRA
   2. 2. Les autres plans de secours informatiques
4. La structure du PRA
5. Niveau de détail du PRA
6. L'équipe PRA
7. Rédiger les procédures du PRA

Plan de gestion des incidents et des crises

1. Concepts clés
   1. 1. L’incident
   2. 2. La gestion des incidents
      1. a. Identification et enregistrement des incidents
      2. b. Classification et priorisation des incidents
      3. c. Diagnostic et résolution initiale
      4. d. Escalade et notification
      5. e. Investigation et résolution
      6. f. Suivi et communication
      7. g. Clôture de l’incident
   3. 3. De l’incident à la crise
   4. 4. La cellule de crise
   5. 5. La salle de crise
2. Exemple de plan de gestion de crise
   1. 1. Page de garde
   2. 2. Introduction et objectifs du plan de gestion de crise
      1. a. Présentation de l’entreprise XYZ et de sesactivités principales
      2. b. Objectifs du plan de gestion de crise
   3. 3. Structure de gestion de crise
      1. a. Cellule de crise
      2. b. Annuaire de cellule de crise
   4. 4. Identification des risques et des scénariosde crise
      1. a. Scénario d’incendie dans les locaux de l’entreprise
      2. b. Scénario de cyberattaque paralysant le systèmeinformatique
      3. c. Scénario de pandémie entraînantdes fermetures et des restrictions de déplacement
   5. 5. Système d’alerte interne
      1. a. Canaux de communication multiples
      2. b. Procédure d’alerte
   6. 6. Gestion des ressources
   7. 7. Communication et relations publiques
      1. a. Principes
      2. b. Méthode
      3. c. Ce qu’il faut faire et ce qu’il ne faut pas faire
      4. d. Exemple de plan de communication de crise
   8. 8. Gestion des actions et des décisions
   9. 9. Formation, exercices et tests

Les exercices de continuité d'activité

1. Les exercices sont-ils nécessaires ?
2. Les différents types d'exercices
   1. 1. Les exercices de relecture
   2. 2. La simulation sur documents
   3. 3. La simulation annoncée sur périmètrerestreint
   4. 4. La simulation annoncée sur périmètre étendu
   5. 5. La simulation avec partenaires
   6. 6. La simulation non annoncée
   7. 7. La situation réelle
3. La conception d'un plan d'exercices
   1. 1. La mise en scène de l’exercice
      1. a. Le scénario
      2. b. La mise en scène
      3. c. Le script
      4. d. Exemple de script
   2. 2. Les acteurs et l’équipe de tournage
      1. a. Les organisateurs
      2. b. Les acteurs
      3. c. De vrais acteurs
      4. d. L’équipe technique
   3. 3. La planification
4. Silence ! On tourne
   1. 1. Contrôler les dérives
   2. 2. Gérer les situations de blocage
   3. 3. Enregistrement de l’exercice
   4. 4. Documenter les événements et lesrésultats
5. Le rapport d'exercices et son utilisation
6. Plan d'exercices PCA

Maintien en conditions opérationnelles du SMCA

1. La maintenance ou les maintenances ?
2. La maintenance préventive
3. La maintenance corrective
4. La maintenance prédictive
5. La maintenance conditionnelle
6. Tableaux de bord et KPI
   1. 1. Principes
   2. 2. Exemples de KPI
7. Processus et plan de maintenance type
   1. 1. Processus
   2. 2. Plan de maintenance type

Audit SMCA et revue de direction

1. Généralités sur l’audit
2. Audit du SMCA
3. Rapport d'audit SMCA
4. Techniques d'audit
   1. 1. Revue documentaire
   2. 2. Entretiens - Explorer les pratiques et les défis
   3. 3. Observation sur site
   4. 4. Échantillonnage
   5. 5. Analyse comparative
   6. 6. Test de scénarios
5. Intégration dans le plan d'audit
6. Application des techniques d'audit
7. Revue de direction

Formation et sensibilisation au SMCA

1. Les nécessités imposées par la norme et les méthodes
   1. 1. Formation et sensibilisation : quelles différences ?
   2. 2. ISO 22301 et formation
   3. 3. La formation SMCA dans les méthodologies
      1. a. La formation selon le BCI
      2. b. La position du DRII
2. La planification de la sensibilisation et de la formation
   1. 1. Planification de la sensibilisation au SMCA
   2. 2. Planification de la formation au SMCA
3. Les supports
   1. 1. Supports de sensibilisation
   2. 2. Supports de formation
   3. 3. Thèmes de sensibilisation ou de formation

La résilience

1. Une brève histoire de la résilience
   1. 1. La résilience des matériaux :rebondir face aux contraintes
   2. 2. La résilience en psychologie
   3. 3. La résilience en écologie
   4. 4. La résilience communautaire
   5. 5. La résilience en ingénierie
   6. 6. La résilience organisationnelle
2. Les modèles de résilience organisationnelle
   1. 1. Le modèle du CERT
   2. 2. La norme ISO 22316
   3. 3. La norme BS 65000
3. Une nouvelle approche de la résilience
   1. 1. La résilience en tant que SMI
      1. a. Le concept de SMI
      2. b. Le SMRO
   2. 2. Similitudes entre résilience organisationnelleet humaine
   3. 3. L’agilité
   4. 4. Vers une nouvelle méthodologie
      1. a. Périmètre de la résilience
      2. b. Management de la résilience
      3. c. Création du cadre de la résilience

Perspectives

1. Vous êtes prêt
2. L'outillage du SMCA
3. L'évolution des normes sur la résilience
4. Le SMCA, l'Intelligence Artificielle et la réalité virtuelle
5. La gestion de la continuité de la chaîne logistique
6. La cyber-résilience

Conclusion

1. La boucle est bouclée
2. Et pourtant

Bibliographie

1. Introduction