Dispositions de continuité et de reprise
Très souvent, les entreprises n’attendent pas la mise en place officielle d’un plan de
continuité pour s’intéresser à la question. Par exemple, dans le domaine industriel, on
rencontre régulièrement le principe de l’usine virtuelle. Les usines adoptant ce modèle
sont dimensionnées de telle sorte qu’elles puissent se secourir mutuellement. Pour ce
faire, elles doivent être capables d’absorber tout ou partie de la production perdue par
l’usine sinistrée. Ceci sous-entend que des capacités de production sont laissées
disponibles en cas de besoin, que des procédures opérationnelles pour le secours sont
tenues à jour et que des exercices réguliers sont réalisés. Le RSSI a tout intérêt à prendre
connaissance de ces procédures, même si elles ne sont pas directement centrées sur le SI.
Les plans de continuité peuvent aussi concerner des aspects très ciblés du SI, jugés
critiques. Par exemple, les sociétés ayant recours à des centres d’appel pour traiter les
demandes des clients disposent toujours de plans de continuité de la téléphonie. Le RSSI
doit donc prendre connaissance des dispositions prises pour assurer la continuité de la
prise d’appel. En général, il s’agit de redondances systématiques des équipements
stratégiques pour la téléphonie et de la répartition de ces équipements dans des sites
distincts. Naturellement, des procédures doivent exister, avec les fiches réflexes
correspondantes.
Par ailleurs, quel que soit le niveau de maturité du SI, on trouve toujours de façon
unitaire des dispositifs de redondance pour les serveurs sensibles ainsi que pour les
équipements réseau stratégiques, tels que les pare-feu, les relais HTTP, les répartiteurs de
charge, les cœurs de réseaux ou les routeurs. De plus, les salles machines sont souvent
doublées, même si elles n’assurent pas forcément la redondance de tous les services
stratégiques.
Quel que soit son rôle dans la continuité et la reprise d’activité, le RSSI a tout intérêt à
passer en revue toutes ces dispositions. L’idéal est qu’il en fasse une synthèse dans un
document intitulé « Dispositions de continuité et de reprise d’activité » dans lequel il
récapitule clairement toutes ces dispositions en partant des mesures de continuité au
niveau métier, puis en descendant progressivement à des aspects purement informatiques.
Dans chaque section, il est utile de préciser le niveau de maturité des dispositions, qui
peuvent aller de « documenté, à jour et testé » dans le meilleur des cas, à « non
documenté, jamais testé » dans le pire des cas.
Fort de ce document, le RSSI pourra le faire valider par chacun des acteurs concernés
afin de vérifier l’exactitude de ce qu’il a compris. Il pourra ensuite le présenter à la DSI
ainsi qu’à la direction générale pour mettre en évidence les forces et les faiblesses des
dispositions en matière de continuité et de reprise.
Le choix du niveau de profondeur et de disponibilité de l’activité dépasse amplement les
prérogatives du RSSI, car c’est une décision d’entreprise à prendre au niveau de la
direction générale. C’est bien à la direction de décider s’il faut mettre en place un plan de
continuité orienté métier ou se contenter d’un plan de reprise informatique. Le RSSI n’a
dans ce domaine qu’un rôle de conseil (certes important, mais limité) auprès de la
Très souvent, les entreprises n’attendent pas la mise en place officielle d’un plan de
continuité pour s’intéresser à la question. Par exemple, dans le domaine industriel, on
rencontre régulièrement le principe de l’usine virtuelle. Les usines adoptant ce modèle
sont dimensionnées de telle sorte qu’elles puissent se secourir mutuellement. Pour ce
faire, elles doivent être capables d’absorber tout ou partie de la production perdue par
l’usine sinistrée. Ceci sous-entend que des capacités de production sont laissées
disponibles en cas de besoin, que des procédures opérationnelles pour le secours sont
tenues à jour et que des exercices réguliers sont réalisés. Le RSSI a tout intérêt à prendre
connaissance de ces procédures, même si elles ne sont pas directement centrées sur le SI.
Les plans de continuité peuvent aussi concerner des aspects très ciblés du SI, jugés
critiques. Par exemple, les sociétés ayant recours à des centres d’appel pour traiter les
demandes des clients disposent toujours de plans de continuité de la téléphonie. Le RSSI
doit donc prendre connaissance des dispositions prises pour assurer la continuité de la
prise d’appel. En général, il s’agit de redondances systématiques des équipements
stratégiques pour la téléphonie et de la répartition de ces équipements dans des sites
distincts. Naturellement, des procédures doivent exister, avec les fiches réflexes
correspondantes.
Par ailleurs, quel que soit le niveau de maturité du SI, on trouve toujours de façon
unitaire des dispositifs de redondance pour les serveurs sensibles ainsi que pour les
équipements réseau stratégiques, tels que les pare-feu, les relais HTTP, les répartiteurs de
charge, les cœurs de réseaux ou les routeurs. De plus, les salles machines sont souvent
doublées, même si elles n’assurent pas forcément la redondance de tous les services
stratégiques.
Quel que soit son rôle dans la continuité et la reprise d’activité, le RSSI a tout intérêt à
passer en revue toutes ces dispositions. L’idéal est qu’il en fasse une synthèse dans un
document intitulé « Dispositions de continuité et de reprise d’activité » dans lequel il
récapitule clairement toutes ces dispositions en partant des mesures de continuité au
niveau métier, puis en descendant progressivement à des aspects purement informatiques.
Dans chaque section, il est utile de préciser le niveau de maturité des dispositions, qui
peuvent aller de « documenté, à jour et testé » dans le meilleur des cas, à « non
documenté, jamais testé » dans le pire des cas.
Fort de ce document, le RSSI pourra le faire valider par chacun des acteurs concernés
afin de vérifier l’exactitude de ce qu’il a compris. Il pourra ensuite le présenter à la DSI
ainsi qu’à la direction générale pour mettre en évidence les forces et les faiblesses des
dispositions en matière de continuité et de reprise.
Le choix du niveau de profondeur et de disponibilité de l’activité dépasse amplement les
prérogatives du RSSI, car c’est une décision d’entreprise à prendre au niveau de la
direction générale. C’est bien à la direction de décider s’il faut mettre en place un plan de
continuité orienté métier ou se contenter d’un plan de reprise informatique. Le RSSI n’a
dans ce domaine qu’un rôle de conseil (certes important, mais limité) auprès de la