Notre trio d'article survole tous les éléments essentiels du PCA.
Dans notre premier article, nous avons exploré les aspects fondamentaux à considérer lors de la création d'un PCA, offrant une vue d'ensemble des préparations nécessaires pour anticiper et gérer les interruptions technologiques. Le deuxième article a fourni des conseils pratiques de NOVIPRO pour élaborer un PCA solide, avec une liste détaillée pour protéger votre entreprise contre les risques numériques.
Lire le premier article sur les fondamentaux du PCA
Nos conseils pour élaborer un PCA solide
Pourtant, posséder un PCA ne suffit pas; il est crucial de tester régulièrement sa robustesse pour garantir son efficacité. Pour cette raison, notre troisième article se concentre sur les 4 étapes essentielles à réaliser pour vérifier la résilience de votre PCA face aux menaces technologiques.
Alors que seulement 43% des entreprises ont un PCA en 2024, il est impératif de s'assurer que ce plan est non seulement en place, mais aussi rigoureusement testé pour rester efficace dans un paysage technologique en perpétuelle mutation.
Quelles sont les étapes à respecter pour commencer ? Comment prouver la pertinence de ces tests auprès de votre entreprise ? Quelles conclusions tirer de ces exercices ?
NOVIPRO vous explique tout dans ce troisième et dernier article de notre série de blogues dédiée au PCA. Nous vous présenterons 4 étapes clés pour un PCA plus robuste que jamais.
Quels tests puis-je pratiquer au sein de mon entreprise ?
Chez NOVIPRO, nous préconisons 2 types d’exercices pour évaluer pleinement la continuité de vos affaires :
- Les tests d’opérations
- Les tests ou essais technologiques
Découvrez en quoi ils consistent et comment ils aident votre entreprise à devenir plus cyber-résiliente.
Étape n°1 : Les tests d’opérations
Parmi les tests opérationnels, nous distinguons deux sortes d’exercices :
- Les exercices de table (aussi nommés « tabletop»)
- Les simulations
Les tests opérationnels impliquent toutes les unités d’affaires d’une entreprise, y compris les TI, en vue d’évaluer si le PCA répond à tous les besoins essentiels pour la poursuite des opérations commerciales en cas d’indisponibilité des technologies.
Les exercices de table
Ce sont des entraînements formatifs qui testeront votre plan de continuité des affaires avec une situation spécifique choisie.
Ils impliquent tous les membres internes de la cellule de gestion d’incident que vous avez déterminé au préalable lors de la création de votre PCA.
Vous retrouverez dans ces exercices :
- Simulation de scénarios fictifs de crise
- Mise en place de discussions entre les intervenants pour voir les mesures à prendre
- Identification des lacunes dans les procédures de gestion de crise
Les simulations
Ce sont des tests réalistes, basés sur des situations réelles vécues par votre entreprise ou des compagnies similaires, et visant à évaluer la réponse et la coordination des équipes en situation d’urgence.
Ils impliquent tous les membres internes concernés par le plan de continuité des affaires (cellule de gestion d’incident et les autres employés concernés) voire des partenaires externes (dans certains cas).
Ici on se concentrera plus sur :
- Exécution de scénarios réalistes de situation critiques pour l’entreprise
- Mise en œuvre du plan de continuité des affaires dans un contexte de simulation
- Identification des problèmes lors de la mise en pratique
À quelle fréquence réaliser ces tests opérationnels ?
Idéalement, ces deux tests devraient être réalisés une fois par an. Toutefois, en qualité de firme TI, nous accompagnons de nombreux clients et comprenons que ce n’est pas toujours réaliste de respecter cette recommandation : vous avez d’autres responsabilités dans l’entreprise et ces tests peuvent parfois affecter l’efficacité opérationnelle de votre compagnie.
Roger Ouellet, directeur de la pratique sécurité chez NOVIPRO, vous propose une autre piste de solution :
« Une alternative pourrait être de varier vos tests chaque année entre un exercice de table et une simulation. Cela vous permettrait de tester votre PCA tout en bénéficiant de suffisamment de temps pour la planification et, bien sûr, vous concentrer sur vos activités principales. »
Étape n°2 : Les tests ou essais technologiques
Ces tests vont, quant à eux, évaluer l’aspect pratique et les capacités technologiques de l’entreprise pour vérifier le bon fonctionnement de vos infrastructures TI en cas d’incident.
Les cyberattaques se produisent souvent plusieurs mois après la première brèche du système. Ce type de menaces demandent bien plus de temps à vos équipes TI pour les résoudre. Ainsi, votre préparation technologique et votre capacité à analyser, contenir et récupérer d’une attaque de votre entreprise constituent des facteurs essentiels au rétablissement de vos technologies de l’information (TI).
Ces tests sont donc cruciaux pour évaluer que votre plan de continuité des affaires est efficace et également que votre environnement TI soit suffisamment résilient en cas d’incident.Sa principale différence avec les tests d’opérations réside dans la focalisation sur les technologies et l’efficacité de l’équipe TI.
Par exemple, les tests technologiques peuvent prendre la forme d’exercices tels que :
- Réalisation de scénarios tests de défaillance ou incident comme une simulation de cyberattaque, une panne volontaire… pour vérifier comment le système informatique réagit
- Mise en place de procédures de sauvegarde et de récupération de données pour s’assurer du bon fonctionnement en cas de perte (optionnel, dépend des besoins de continuité des affaires d’une entreprise établis au préalable)
- Détection de failles et vulnérabilités dans l’environnement technologique
Ces exercices doivent permettre de répondre à des questions essentielles :
Si l’entreprise venait à se faire pirater, combien de temps mettrait-on à accéder à une deuxième copie des données ? Combien de temps faudrait-il aux techniciens informatiques pour détecter une faille dans le système ? Est-ce que mon système informatique est suffisamment robuste pour faire face aux perturbations ?
Par définition, ce type de tests est interne car il implique uniquement votre équipe TI et vos technologies.
À quelle fréquence réaliser les tests technologiques ?
Ces exercices devraient être réalisés une fois par an afin de s’assurer que le plan de continuité des affaires et la relève des données soient toujours alignés. Ainsi, dans le cadre d’une cyberattaque ou d’une panne technologique, vous pourrez être rassuré par la préparation de votre équipe TI.
Souhaitez-vous obtenir des conseils avisés
en matière de sauvegarde et réplique de vos données ?
Téléchargez gratuitement notre guide sur les 3 bonnes raisons
d’externaliser votre système de sauvegarde
Pourquoi dois-je effectuer régulièrement des tests de mon PCA ?
Vous comptez réaliser une évaluation de votre PCA cette année mais ne saisissez pas la nécessité de reproduire cet exercice annuellement. Ces exercices réguliers servent à garantir le bon fonctionnement du plan en cas de réelle crise.
Voici pourquoi les tests du PCA sont indispensables pour votre entreprise :
- Ils mettent en confiance l’ensemble des employés :
- Compréhension des rôles et responsabilités de chacune des unités d’affaires de l’entreprise
- Assimilation des outils et des plans par les intervenants concernés
- Meilleure synergie entre les différents acteurs et départements
En cas de crise, vos équipes peuvent être fortement sollicitées; simplifiez-leur la tâche en les préparant rigoureusement à tout incident.
- Ils renforcent la robustesse de votre PCA :
- Détection de problèmes technologiques ou de processus dans le PCA
- Dialogue ouvert encouragé afin d’améliorer le PCA
- Préparation à la continuité des opérations pour les TI
Ces exercices réguliers assurent que votre PCA reste à jour et efficace face à l'évolution constante des risques et des technologies :
« Le plan de continuité des affaires est un document vivant car les environnements technologiques et opérationnels ainsi que les membres de la cellule de réponse des entreprises évoluent. Il est donc primordial de le tenir à jour. » explique Roger Ouellet.
Et vous, qu’est-ce qui vous empêche de dormir en cybersécurité ?
Écoutez l’édition spéciale de notre balado présentée
par le célèbre journaliste en TI, Bruno Guglielminetti
Mes équipes sont réticentes à réaliser ces tests, que faire ?
Bien que ces tests vous aident à valider ou retravailler le plan de continuité des affaires, il faut tenir compte du temps nécessaire pour les effectuer.
Par exemple, dans le cas de la simulation, le test prend concrètement une journée. Cependant, avant de réaliser l’exercice, il faut un long travail de préparation interne pour qu’il soit le plus efficace possible; cela inclut le choix de l’incident, la planification, les indicateurs de performance, etc.
Il est possible de rencontrer des collaborateurs réfractaires à ces tests car ils demandent du temps et peuvent potentiellement perturber la productivité de l’entreprise. Vous aurez dès lors un effort de sensibilisation à entreprendre auprès des acteurs concernés pour rendre les exercices plus ludiques.
En effet, vous pourriez convaincre vos collaborateurs en leur présentant ces tests comme une activité annuelle qui se veut ludique et enrichissante. Pour l’ensemble des employés, cela serait perçu comme une formation annuelle, favorisant la cohésion et la collaboration des équipes, pour vous, cela deviendrait une mine d’or en vue d’améliorer votre plan d’action et confirmer vos intervenants.
Ces exercices évaluent le bon fonctionnement du plan et sont essentiels pour assurer une reprise rapide des opérations dans le cadre d’une cyberattaque ou d’une panne technologique.
J’ai réalisé les évaluations de mon PCA, que faire maintenant ?
Étape n°3 : Analyse des tests
Maintenant que vous avez réalisé vos tests au sein de votre entreprise, il est désormais nécessaire d’analyser ce qui a entravé le bon fonctionnement du PCA.
Pour chaque aspect du PCA, voici des questions à considérer afin d’identifier des points d’amélioration. Cette section est inspirée de notre second blogue sur le PCA, où nous mettons à votre disposition une liste téléchargeable de questions pour bonifier votre PCA.
Il est nécessaire d’établir des indicateurs de performance (KPI) pour déterminer les critères de succès du test de votre PCA. Ces indicateurs doivent être mesurables et établis objectivement.
Choix des membres de la cellule de gestion d’incident
Ces acteurs jouent un rôle déterminant dans la gestion de crise. Par conséquent, les informations doivent être mises à jour dans le document dédié à chaque changement pertinent (départ à retraite, démission, promotion, etc.).
Pour modifier le document listant les membres de la cellule, vous pouvez :
- Aviser le responsable de la mise à jour de la liste
- Le modifier vous-même et ajouter votre nom et la date de modification du document dans la section prévue à cet effet
Évaluation des besoins des unités d’affaires (UA)
Ici, vous devez comprendre et concevoir comment vont fonctionner l’ensemble de vos unités d’affaires sans accès à la technologie :
- Est-ce que certaines tâches majeures ne sont pas couvertes par la technologie ?
- Est-ce que toutes les unités d’affaires ont été considérées ?
Bilan d’impact des activités
Examinez comment un incident affecterait votre entreprise de deux façons :
- Avez-vous mal cerné votre modèle d’affaires ?
- Manquez-vous de connaissances vis-à-vis des enjeux associés à un incident ? (Légal, technologique, etc.)
- Est-ce que votre compagnie connait une croissance stable ?
- Avez-vous détecté de nouveaux systèmes critiques ?
- Vos contacts d’urgence sont-ils toujours les mêmes ?
- Avez-vous changé d’infrastructure technologique ?
- Votre entreprise a-t-elle déménagé récemment ?
Appréciation du risque
Avez-vous sous-estimé les risques d’un incident pour votre entreprise ?
Structure de réponse aux incidents
- Avez-vous fixé les bonnes priorités à gérer pour chacune des crises ?
- Avez-vous préparé vos technologies pour tout type d’urgence ?
- Vos guides de réponse aux potentiels incidents sont-ils prêts et à disposition des personnes concernées ?
- Êtes-vous assuré de mettre en place un plan de communication pour chacun des cas de figure ?
- Disposez-vous des ressources internes et technologiques pour récupérer vos données et répondre aux incidents ?
Stratégies de continuité
Votre entreprise a-t-elle connu des changements notables ? (Nouveau système de sauvegarde, mise à jour de l’infrastructure, intervention d’une firme TI, etc.)
Ces stratégies de continuité doivent être alignées avec les besoins des unités d’affaires, les cyberassurances, les investisseurs ainsi que toute autre partie prenante identifiée au préalable.
Programme de formation et d’exercices de la continuité des affaires
- Est-ce que certains employés devraient suivre des formations ?
- Avez-vous constaté des mouvements de personnel ? (Départ ou promotion)
- Devriez-vous prioriser la formation concernant des risques plus probables à votre secteur d’activités ?
- Avez-vous établi des indicateurs de réussite trop élevés ?
Retrouvez plus de pistes de réflexion dans
notre liste gratuite pour un PCA robuste
Étape n°4 : Mise à jour de votre PCA
Une fois les pistes d’améliorations identifiées, ajustez votre PCA afin qu’il corresponde au mieux à votre réalité. Ainsi, vous serez mieux préparé à tout incident car vous aurez appris de vos erreurs et vos manquements.
En résumé
- Un PCA robuste passe par :
- Des tests opérationnels, évaluant la logistique du plan
- Des essais technologiques assidus, exerçant la réponse des technologies
- Une analyse approfondie du déroulement des tests
- Des mises à jour régulières du plan pour correspondre au mieux à la réalité de votre entreprise
- Idéalement, ces tests sont tous effectués annuellement. Si les emplois du temps de vos collaborateurs sont remplis, vous pouvez :
- Alterner annuellement entre les deux types d’exercices opérationnels
- Conduire un essai technologique chaque année avec votre personnel TI
- Entraînez régulièrement vos équipes : elles seront plus sereines et auront de bons réflexes lors de réelles urgences
- Votre PCA est un document évolutif qui doit être régulièrement mis à jour : il s’adapte aux nombreux changements de votre environnement technologique
- Les évaluations de votre PCA sont indispensables car ils permettent d’identifier les failles potentielles et d’assurer la continuité des activités en cas d’incident
Ne négligez pas les tests de votre PCA, il s’agit d’un investissement dans la pérennité de votre entreprise.
Besoin d’un avis professionnel ?
Contactez Roger Ouellet, directeur de la pratique sécurité chez NOVIPRO
Consultez notre page consacrée aux services en cybersécurité
Envie d’explorer davantage ce sujet ?
