Continuité d'activité et Plan de reprise après sinistre (BCP/DRP)

BCP et DRP : deux disciplines complémentaires

La planification de la continuité d’activité (BCP) et la planification de la reprise après sinistre (DRP) sont souvent utilisées de manière interchangeable mais désignent des activités distinctes — bien qu’étroitement liées :

• Le BCP traite l’organisation dans son ensemble : comment les fonctions commerciales critiques continuent-elles lorsque les opérations normales sont perturbées ? Il couvre les personnes, les processus, les installations, les fournisseurs et les communications — pas seulement la technologie.
• Le DRP traite spécifiquement la dimension informatique et technologique : comment les systèmes, applications et données sont-ils restaurés après une défaillance ? C’est un sous-ensemble du BCP, axé sur la composante de reprise technique.

Un programme de résilience opérationnelle mature requiert les deux : un BCP qui définit quels processus métier sont critiques et quels niveaux de ressources minimaux ils nécessitent, soutenu par un DRP qui garantit que la technologie sous-jacente à ces processus peut être restaurée dans des délais acceptables.

Analyse d’impact sur l’activité (AIA)

L’analyse d’impact sur l’activité (AIA) est le fondement de tout BCP. Elle répond à deux questions :

1. Quelles fonctions et processus commerciaux sont critiques, et que se passe-t-il s’ils sont indisponibles pendant différentes périodes ?
2. Quelles sont les dépendances (technologie, personnes, fournisseurs, installations) dont ces processus critiques dépendent ?

L’AIA produit une liste hiérarchisée de fonctions commerciales classées par leur durée maximale de perturbation tolérable (DMPT) — le point auquel la perturbation causerait un préjudice irréversible à l’organisation.

Paramètres clés de reprise

Deux métriques définies lors de l’AIA et du processus de conception du BCP/DRP sont cruciales :

RTO (Recovery Time Objective) : Le délai maximal acceptable pour restaurer une fonction ou un système après une perturbation. Une plateforme de commerce électronique pourrait avoir un RTO de 2 heures ; un système de reporting de back-office pourrait avoir un RTO de 48 heures.

RPO (Recovery Point Objective) : La quantité maximale acceptable de perte de données mesurée en temps. Un système de trading financier pourrait avoir un RPO de zéro (aucune perte de données tolérée), nécessitant une réplication en temps réel ; un système de gestion documentaire pourrait avoir un RPO de 24 heures.

Le RTO et le RPO sont des engagements — ils doivent être testés, pas seulement documentés. De nombreuses organisations découvrent lors de leur première catastrophe réelle que leurs temps de reprise réels dépassent significativement leurs objectifs RTO documentés.

ISO 22301 : Systèmes de management de la continuité d’activité

ISO 22301 (version actuelle : ISO 22301:2019) est la norme internationale pour les Systèmes de Management de la Continuité d’Activité (SMCA). Comme ISO 27001 pour la sécurité de l’information, elle fournit un cadre de système de management pour établir, mettre en œuvre, exploiter, surveiller, réviser et améliorer la capacité de continuité d’activité.

La certification ISO 22301 est recherchée par les organisations dans les secteurs critiques et est de plus en plus demandée dans les contrats d’approvisionnement et d’externalisation.

ISO 22301 requiert :

• AIA et évaluation des risques
• Stratégie et plans de continuité d’activité documentés
• Exercices et tests (exercices sur table, simulations, tests complets de reprise après sinistre)
• Processus de retour d’expérience après les tests et incidents réels
• Revue de direction et amélioration continue

Exigences réglementaires en Espagne et dans l’UE

Les exigences BCP/DRP sont de plus en plus intégrées dans la réglementation financière et numérique de l’UE :

Directive NIS2 : Exige des entités concernées (moyennes entreprises dans les secteurs de l’énergie, du transport, de la santé, des infrastructures numériques et d’autres secteurs critiques) de mettre en œuvre la « continuité d’activité et gestion de crise » comme l’une des mesures obligatoires de gestion des risques.

DORA : Pour les entités du secteur financier, DORA exige une politique complète de continuité d’activité TIC avec des RTO et RPO définis pour les fonctions critiques, des tests réguliers (y compris la participation à des exercices à l’échelle du secteur).

ENS (Esquema Nacional de Seguridad) : Le cadre de cybersécurité du secteur public espagnol exige un BCP/DRP certifié pour les systèmes de sécurité moyenne et élevée.

Construction d’un programme BCP/DRP : étapes pratiques

Pour une entreprise espagnole de taille intermédiaire construisant un programme BCP/DRP à partir de zéro :

1. Définition du périmètre — Déterminer quelles fonctions et entités sont dans le périmètre
2. Analyse d’impact sur l’activité — Identifier les fonctions critiques et leurs dépendances
3. Définition RTO/RPO — Convenir des paramètres de reprise avec les propriétaires d’activité et le conseil d’administration
4. Analyse des écarts — Comparer la capacité de reprise informatique actuelle aux objectifs RTO/RPO
5. Conception de la stratégie — Sélectionner les stratégies de reprise (basculement cloud, veille chaude, contournements manuels, installations alternatives)
6. Documentation du plan — Rédiger le BCP et le DRP, y compris les arbres d’appel, les procédures de reprise et les modèles de communication
7. Programme de tests — Exercice sur table annuel minimum ; tests technologiques de reprise après sinistre au moins annuellement
8. Maintenance — Cycle de révision annuel déclenché par les changements d’activité, les résultats des tests et les incidents réels

Modes d’échec courants

Les échecs les plus courants dans la pratique :

• Plans documentés mais jamais testés — les temps de reprise réels dépassent largement le RTO
• Plans non mis à jour après les changements d’infrastructure informatique
• Systèmes de sauvegarde situés au même endroit physique que les systèmes principaux
• BCP axé uniquement sur la reprise informatique, pas sur les personnes ou la chaîne d’approvisionnement
• Direction non impliquée — BCP traité comme un projet informatique plutôt qu’une question de gouvernance d’entreprise

Comment BMC peut vous aider

Nous concevons et mettons en œuvre des cadres BCP/DRP, conduisons des analyses d’impact sur l’activité, définissons les paramètres RTO/RPO alignés sur les exigences métier et réglementaires, rédigeons des plans de continuité et de reprise, facilitons des exercices sur table et soutenons la préparation à la certification ISO 22301.