La continuité d'activité est la capacité à maintenir vos activités critiques en cas de perturbation et à rétablir les autres dans les délais convenus. Elle englobe l'analyse permettant d'identifier les activités essentielles, les stratégies garantissant leur disponibilité, les plans d'action mis en œuvre par vos équipes en cas d'incident et les exercices de simulation qui en attestent l'efficacité. Au Royaume-Uni, elle est généralement mise en place conformément à la norme ISO 22301, norme internationale relative à la gestion de la continuité d'activité.
- Identifiez les activités critiques et sachez combien de temps elles peuvent être interrompues avant que les dégâts ne soient réels.
- Ayez une stratégie pour maintenir ces activités disponibles, et pas seulement un document décrivant l'idéal.
- Donnez aux gens des procédures qu'ils peuvent suivre sous pression, avec des rôles et des communications clairs.
- Testez les plans en les confrontant à des scénarios réalistes, puis intégrez-y les enseignements tirés.
- Conservez des preuves que le cycle complet est en cours, afin de pouvoir prouver la continuité plutôt que de l'affirmer.
Qu'est-ce que la continuité des activités?
La continuité des activités consiste à préparer une organisation à continuer de fournir ses produits et services essentiels en cas de perturbation de son fonctionnement normal. Cette perturbation peut être une cyberattaque, une défaillance d'un fournisseur, une coupure de courant, une panne de système, un événement climatique extrême ou la perte soudaine d'un site ou d'une équipe. L'objectif n'est pas de prédire ce qui se produira, mais de savoir à l'avance quelles activités sont indispensables, dans quel délai elles doivent être rétablies et quelles mesures concrètes seront prises.
Deux idées principales sous-tendent la démarche. Premièrement, toutes les activités n'ont pas la même importance ; il convient donc de les hiérarchiser selon l'impact de leur interruption. Deuxièmement, la reprise d'activité est encadrée par un délai, défini pour chaque activité, ainsi que par une période maximale de perturbation tolérable au-delà de laquelle les conséquences deviennent inacceptables. Une fois ces éléments validés, la continuité cesse d'être une ambition vague et se concrétise en un ensemble d'engagements que l'on peut planifier, financer et tester.
La continuité des activités s'inscrit dans le cadre plus large de la résilience des entreprises . Elle permet de maintenir les opérations malgré une perturbation spécifique. La résilience, quant à elle, désigne la capacité plus globale d'absorber tout type de changement, y compris les évolutions réglementaires et les risques liés à la sécurité, à la confidentialité et à l'IA, tout en préservant la confiance des utilisateurs. La continuité est une composante de la résilience, et non un substitut.
Continuité des activités, reprise après sinistre ou résilience ?
Ces trois termes sont souvent utilisés indifféremment, alors qu'ils ne sont pas synonymes. Cette distinction est importante car elle détermine à qui appartient l'œuvre et ce qui constitue un travail de qualité.
| Continuité de l'activité | Reprise après sinistre | Résilience des entreprises | |
|---|---|---|---|
| Focus | Assurer la continuité des activités critiques | Restauration des systèmes informatiques et des données | Accepter tout type de changement et maintenir la confiance |
| Domaine | L'ensemble de l'organisation | Systèmes et données TIC | Sécurité, confidentialité, IA et opérations réunies |
| d'atténuation | Objectif de temps de rétablissement, période maximale tolérable de perturbation | Objectif de temps de récupération, objectif de point de récupération | Posture, preuves et rapidité de la réponse |
| Norme d'ancrage | ISO 22301 | ISO / IEC 27031 | Les normes ISO 27001, ISO 27701, ISO 42001 et ISO 22301 combinées |
| Question centrale | Pouvons-nous continuer à fonctionner ? | Peut-on récupérer les systèmes ? | Pourrons-nous faire face à ce qui nous attend et le prouver ? |
La reprise après sinistre est un sous-ensemble de la continuité d'activité, qui concerne la couche technologique. La continuité d'activité est plus globale et englobe les personnes, les locaux, les fournisseurs et les processus, en plus des systèmes. Pour une analyse plus approfondie du dernier article, consultez l'article sur la différence entre résilience et continuité d'activité.
Il y a un enjeu plus important derrière tout cela.
Cette page aborde un aspect de la résilience des entreprises. Real Resilience — le cadre d'IO qui relie la sécurité, la confidentialité et la gouvernance de l'IA — offre une vision d'ensemble.
Comment mettre en place un système de continuité d'activité ?
La gestion de la continuité d'activité s'effectue de manière cyclique plutôt que ponctuelle. On identifie les éléments essentiels, on conçoit les mesures de protection, on les formalise par écrit, on les teste et on utilise les enseignements tirés pour les améliorer. La norme ISO 22301 structure ce processus en un système de management, transformant ainsi une planification ponctuelle en un outil évolutif.
Chaque étape produit quelque chose dont la suivante a besoin.
- Politique et étendueDéfinissez vos objectifs, les activités concernées et les responsables. Sans périmètre défini, chaque étape ultérieure risque de s'étendre indéfiniment.
- Analyse de l'impact des affaires: identifier les activités critiques, l'impact de la perte de chacune d'elles au fil du temps, leurs dépendances et les délais de reprise que vous vous engagez à respecter.
- Stratégie de continuité: déterminer comment chaque activité critique pourra se poursuivre. Les options comprennent la redondance, les sites alternatifs, les solutions de contournement manuelles, les fournisseurs de secours et la reprise prioritaire.
- Plans et procédures: documenter ce que font les gens, dans quel ordre, avec quelle autorité, et comment ils communiquent en interne et en externe.
- Exercice et testMettez les plans à l'épreuve face à des scénarios réalistes. Un plan non testé repose sur une hypothèse, et les exercices sont l'occasion idéale pour que ces hypothèses soient rapidement invalidées.
- Réviser et améliorer: intégrer les constats, les incidents et les changements opérationnels dans le cycle afin que les plans reflètent le fonctionnement actuel de l'organisation.
La plupart des organisations ne rencontrent pas d'échec dans la rédaction des plans. Leur difficulté réside plutôt dans leur mise à jour et dans la démonstration de leur efficacité. Il s'agit là d'un problème de système de gestion plutôt que d'un problème de documentation ; c'est pourquoi la continuité des activités doit être intégrée à votre gouvernance globale plutôt que gérée de manière isolée. Le guide sur le renforcement de la résilience des entreprises décrit le cadre plus large dans lequel elle s'inscrit.
À quelle norme devez-vous vous conformer ?
La norme ISO 22301 est la norme internationale relative aux systèmes de management de la continuité d'activité. Elle est certifiable, ce qui est important si les clients ou les organismes de réglementation exigent une assurance indépendante plutôt qu'une simple déclaration. Elle spécifie les exigences relatives au système de management : leadership, planification, analyse d'impact, stratégie, procédures, exercices, évaluation et amélioration.
Consultez les détails de la norme ISO 22301 ou la présentation pratique de la continuité d'activité selon cette norme . Si vous vous demandez comment mettre en œuvre le système de gestion lui-même, la présentation des systèmes de gestion de la continuité d'activité explique les responsabilités d'un tel système.
Les règles sectorielles prévalent souvent. Les entreprises de services financiers britanniques doivent se conformer aux exigences de résilience opérationnelle de la FCA et de la Banque d'Angleterre, qui imposent des seuils de tolérance aux impacts et des tests de scénarios critiques mais plausibles, plutôt que de simples plans de continuité d'activité. Ces obligations relèvent de la résilience opérationnelle.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Comment la continuité des activités s'intègre-t-elle à la résilience des entreprises ?
La continuité répond bien à une question : pouvons-nous maintenir nos activités malgré cette perturbation ? La résilience, quant à elle, en soulève une plus vaste : pouvons-nous faire face à l’avenir, y compris aux imprévus, tout en préservant la confiance de nos clients et des autorités de réglementation ? Une bonne gouvernance, mise en œuvre efficacement, est la clé de cette résilience. Celle-ci découle de la gouvernance et ne constitue pas une capacité d’urgence distincte.
La boucle de résilience relie trois disciplines que la plupart des organisations gèrent séparément : la sécurité de l’information ( ISO 27001) , la protection des données ( ISO 27701) et la gouvernance de l’IA ( ISO 42001) . La continuité d’activité (ISO 22301) constitue le quatrième volet de cette même approche. Un contrôle d’accès, un système de sauvegarde ou une évaluation des fournisseurs ne relèvent pas d’une seule norme. Il s’agit d’un contrôle unique, appréhendé selon le point de vue adopté.
C’est pourquoi la continuité d’activité est plus économique à mettre en œuvre dans le cadre d’un programme de résilience qu’en tant que projet indépendant. Il suffit de définir un contrôle une seule fois et de le réutiliser. Il faut également recueillir les données nécessaires une seule fois et les présenter à chaque cadre de référence qui le requiert. Le cadre de résilience de l’entreprise explique le fonctionnement concret de cet ensemble de contrôles communs.
Comment prouver l'efficacité de la continuité des activités ?
Un document stocké sur un lecteur réseau ne prouve rien. Seules des preuves résistent au questionnaire de diligence raisonnable d'un client, à un échantillonnage d'un auditeur ou à une demande d'un organisme de réglementation : une analyse d'impact sur l'activité à jour, des objectifs de reprise convenus, des comptes rendus d'exercices avec dates et participants, des journaux d'incidents et des actions correctives concrètes mises en œuvre suite au dernier incident.
C’est là que la plupart des programmes de continuité présentent leurs faiblesses : les données probantes sont générées une fois par an et dispersées dans des boîtes de réception et des tableurs. Les recueillir comme un sous-produit du travail permet d’obtenir des preuves en continu plutôt que de se retrouver face à une course contre la montre annuelle. La méthode est décrite dans le document « Comment prouver la résilience » , et vous pouvez évaluer votre situation actuelle grâce au score de résilience.
Guides connexes:
- Des plans d'urgence: ce qu'ils couvrent et en quoi ils diffèrent d'un plan de continuité.
- Résilience versus continuité des activités: là où les deux disciplines se séparent.
- Choisir un logiciel de continuité d'activité: ce qu'il faut rechercher et ce qu'il faut éviter.
- Résilience opérationnelle: le point de vue réglementé, y compris les attentes de la FCA et de la Banque d'Angleterre.
- continuité des activités sur la plateforme: comment la continuité est gérée au quotidien.
Guides de continuité des activités connexes
- Plan de continuité d'activité: les sections dont il a besoin, comment il est activé et comment il est maintenu à jour.
- Analyse de l'impact des affaires: déterminer quelles activités sont les plus importantes et dans quel délai chacune doit être reprise.
- Plan d'urgence: la méthode de travail alternative pour un risque identifié, avec un déclencheur défini.
- Plan de reprise après sinistre: comment les services technologiques sont rétablis, dans quel ordre et pour quelles cibles.
- Continuité des activités versus reprise après sinistre: qui possède chacun et où l'un est remis à l'autre.
- Gestion de crise: prendre des décisions sous pression lorsque la situation dépasse ce que prévoient les plans.
Pourquoi choisir ISMS.online pour la continuité de vos activités ?
La plupart des outils vous aident à rédiger un plan. ISMS.online vous aide à mettre en œuvre le système de management et à prouver son efficacité.
- Un seul ensemble de contrôles, chaque framework: mapper un contrôle une seule fois et le réutiliser dans les normes ISO 22301, ISO 27001, ISO 27701 et ISO 42001, de sorte que la continuité ne soit pas un programme séparé.
- Une analyse d'impact constamment mise à jour: centraliser les activités critiques, les dépendances et les objectifs de reprise en un seul endroit, liés aux contrôles qui les protègent.
- Preuve sur demande: les comptes rendus d'exercices, les journaux d'incidents et les actions correctives enregistrés au fur et à mesure de votre travail, prêts à être présentés aux auditeurs, aux clients et aux organismes de réglementation.
- Certifiable par conceptionTout est conforme aux normes, votre capacité de continuité est donc prouvable plutôt qu'affirmée.
- S'appuyant sur une expertise approfondie: une mise en œuvre guidée par des spécialistes ayant déjà géré ces systèmes de management, et non une automatisation qui masque le risque.
- Continu, et non annuel: une vision en temps réel de la situation en matière de continuité d'activité, au lieu d'un document mis à jour la semaine précédant un audit.
- Conçu pour le marché britannique et les marchés réglementés.: conçu pour les organisations où la sécurité, la confidentialité et la confiance sont des facteurs déterminants pour l'obtention du contrat.
Découvrez-le dans son contexte sur la plateforme de résilience d'entreprise , ou réservez une démonstration.
FAQ
Quelle est la différence entre la continuité des activités et la reprise après sinistre ?
La continuité des activités englobe le maintien en fonctionnement de l'ensemble des activités critiques de l'organisation, notamment le personnel, les locaux, les fournisseurs et les processus. La reprise après sinistre, quant à elle, est plus ciblée et concerne la restauration des systèmes informatiques et des données après une panne. Elle constitue une composante de la continuité des activités et non une alternative, et se mesure à l'aide d'un objectif de point de restauration (RPO) et d'un objectif de temps de restauration (RTO).
La continuité des activités est-elle une obligation légale au Royaume-Uni ?
Il n'existe pas de loi unique imposant à toutes les organisations l'obligation d'établir un plan de continuité d'activité, mais les réglementations sectorielles et les contrats l'exigent fréquemment. Les entreprises de services financiers britanniques sont soumises à des obligations de résilience opérationnelle imposées par la FCA et la Banque d'Angleterre. Les fournisseurs du secteur public et des grandes entreprises sont systématiquement tenus de justifier leurs dispositifs de continuité d'activité lors des appels d'offres et des vérifications préalables. La certification ISO 22301 constitue généralement la solution pour répondre à ces exigences une fois pour toutes.
Que sont RTO et MTPD ?
L'objectif de délai de reprise correspond au délai imparti pour reprendre une activité après une interruption. La durée maximale tolérable d'interruption représente le seuil au-delà duquel les dommages subis par l'organisation deviennent inacceptables. L'objectif de délai de reprise est fixé à l'intérieur de cette durée maximale tolérable afin de ménager une marge de sécurité. Ces deux paramètres découlent de l'analyse d'impact sur l'activité et ne sont pas choisis arbitrairement.
À quelle fréquence les plans de continuité doivent-ils être testés ?
Au moins une fois par an pour les activités critiques, et de nouveau à chaque changement important : nouveau système, nouveau site, fournisseur majeur, restructuration ou fusion. Les exercices doivent varier, d’une simple discussion à une simulation complète, car chacun révèle des faiblesses différentes. L’essentiel, pour constituer une preuve, est que les tests soient planifiés, consignés et suivis de mesures correctives.
Quelle place occupe la continuité des activités au sein de la résilience des entreprises ?
La continuité est un élément de la résilience. Elle permet de gérer les perturbations. La résilience, quant à elle, désigne la capacité plus large d'absorber les changements de toute nature, y compris les nouvelles réglementations et les risques liés à la sécurité, à la confidentialité et à l'IA, tout en préservant la confiance des clients et des autorités de régulation. C'est en intégrant la continuité à un ensemble de contrôles partagés, plutôt qu'en la considérant comme un programme distinct, qu'elle devient durable.
