Rôle du RSSI en temps de paix
Dans la continuité/reprise d’activité, il faut distinguer les actions à réaliser hors situation
de sinistre, que nous appellerons familièrement « temps de paix » et les actions à
accomplir en situation de sinistre. On parlera alors de « temps de guerre ». Commençons
par les actions en temps de paix.
Démarche générale
Les cas de plans de continuité, plans de reprise et plans de secours sont tellement
nombreux que nous allons illustrer la démarche à retenir par un exemple particulier, donc
partiel. Considérons que la DSI souhaite mettre en place un plan de secours informatique
(PSI). Il s’agit donc d’être capable de reconstruire rapidement l’infrastructure nécessaire
pour fournir à l’entreprise les services informatiques les plus essentiels.
Comme nous l’avons vu, le rôle du RSSI en matière de continuité/reprise d’activité varie
beaucoup d’un organisme à l’autre. Dans les cas où il est le responsable du PSI, le RSSI
sera chargé du pilotage de l’ensemble des étapes décrites ci-après. S’il n’est qu’un des
acteurs, il devra toutefois avoir une très bonne connaissance de ces étapes.
Voici, à titre d’exemple, les principales étapes pour réaliser un plan de secours
informatique.
Analyse d’impact
Tout plan lié à la continuité ou à la reprise commence par une étude d’impact. Le but est
de composer la liste de toutes les activités stratégiques de l’organisme et de mesurer,
d’une part, le temps maximal que l’on peut supporter sans cette activité en cas de sinistre
majeur et, d’autre part, la quantité maximale de données perdues que l’on peut endurer.
Vocabulaire
Le sigle généralement utilisé pour désigner l’étude d’impact est BIA, pour Business Impact Analysis.
Le sigle généralement utilisé pour désigner la durée maximale d’interruption admissible dans une activité
est RTO, pour Recovery Time Objective. En effet, il s’agit du temps maximal dont on dispose pour rendre
fonctionnel le service sinistré avant de mettre l’entreprise en péril.
Le sigle généralement utilisé pour désigner la durée maximale d’enregistrement de données que l’on peut
se permettre de perdre lors d’un sinistre est RPO, pour Recovery Point Objective. En effet, c’est le point à
partir duquel il faut absolument être capable de disposer de sauvegardes valides.
Il convient que cette analyse soit réalisée par un consultant spécialisé. Son regard
extérieur assurera une évaluation objective de la sensibilité des activités. Le livrable de
cette analyse est un tableau de synthèse récapitulant, pour chaque activité sensible, les
éléments nécessaires au bon fonctionnement de cette activité (applications, serveurs,
équipements, etc.), le RTO et le RPO. Ce tableau permet au RSSI de savoir quels sont les
éléments du SI les plus en tension en matière de disponibilité.
Dans la continuité/reprise d’activité, il faut distinguer les actions à réaliser hors situation
de sinistre, que nous appellerons familièrement « temps de paix » et les actions à
accomplir en situation de sinistre. On parlera alors de « temps de guerre ». Commençons
par les actions en temps de paix.
Démarche générale
Les cas de plans de continuité, plans de reprise et plans de secours sont tellement
nombreux que nous allons illustrer la démarche à retenir par un exemple particulier, donc
partiel. Considérons que la DSI souhaite mettre en place un plan de secours informatique
(PSI). Il s’agit donc d’être capable de reconstruire rapidement l’infrastructure nécessaire
pour fournir à l’entreprise les services informatiques les plus essentiels.
Comme nous l’avons vu, le rôle du RSSI en matière de continuité/reprise d’activité varie
beaucoup d’un organisme à l’autre. Dans les cas où il est le responsable du PSI, le RSSI
sera chargé du pilotage de l’ensemble des étapes décrites ci-après. S’il n’est qu’un des
acteurs, il devra toutefois avoir une très bonne connaissance de ces étapes.
Voici, à titre d’exemple, les principales étapes pour réaliser un plan de secours
informatique.
Analyse d’impact
Tout plan lié à la continuité ou à la reprise commence par une étude d’impact. Le but est
de composer la liste de toutes les activités stratégiques de l’organisme et de mesurer,
d’une part, le temps maximal que l’on peut supporter sans cette activité en cas de sinistre
majeur et, d’autre part, la quantité maximale de données perdues que l’on peut endurer.
Vocabulaire
Le sigle généralement utilisé pour désigner l’étude d’impact est BIA, pour Business Impact Analysis.
Le sigle généralement utilisé pour désigner la durée maximale d’interruption admissible dans une activité
est RTO, pour Recovery Time Objective. En effet, il s’agit du temps maximal dont on dispose pour rendre
fonctionnel le service sinistré avant de mettre l’entreprise en péril.
Le sigle généralement utilisé pour désigner la durée maximale d’enregistrement de données que l’on peut
se permettre de perdre lors d’un sinistre est RPO, pour Recovery Point Objective. En effet, c’est le point à
partir duquel il faut absolument être capable de disposer de sauvegardes valides.
Il convient que cette analyse soit réalisée par un consultant spécialisé. Son regard
extérieur assurera une évaluation objective de la sensibilité des activités. Le livrable de
cette analyse est un tableau de synthèse récapitulant, pour chaque activité sensible, les
éléments nécessaires au bon fonctionnement de cette activité (applications, serveurs,
équipements, etc.), le RTO et le RPO. Ce tableau permet au RSSI de savoir quels sont les
éléments du SI les plus en tension en matière de disponibilité.