Depuis des années, les discussions sur la résilience tournent autour de la technologie. Avez-vous des sauvegardes ? Disposez-vous d’un plan de reprise après sinistre ? Avez-vous mis en place des mesures de protection pour prévenir une attaque ?
Ces questions restent importantes. Mais de plus en plus, ce ne sont pas celles que me posent les dirigeants.
Au contraire, j’entends une question bien plus simple :Si nous étions victimes d’une cyberattaque demain, serions-nous capables de nous en remettre, et pourrions-nous le prouver ?
NouveauÉtude d’IDC, d’après une enquête menée auprès de 539 responsables informatiques et de la résilience aux États-Unis et au Canada, met en évidence une réalité de plus en plus évidente : le simple fait de disposer de technologies de Recovery ne signifie pas automatiquement qu’une organisation est prête à faire face à un incident.
Récemment, j’ai rencontré Jason Cray, membre de l’équipe « Product Experience » de Commvault, pour discuter de cette étude réalisée par IDC. Notre conversation ne s’est pas limitée à aborder les thèmes de la sauvegarde, de la restauration ou de la cyber-résilience.
Il s’agissait d’une discussion sur la confiance. Plus précisément, sur la raison pour laquelle tant d’organisations estiment être en mesure de se remettre d’un incident, mais ont du mal à prouver qu’elles sont réellement prêtes à le faire.
Regardez laWebinaire « Readiness for recovery » à la demande.
Points clés à retenir
- La différence entre être « récupérable » et être « prêt à être récupéré » est comparable à celle qui existe entre la théorie et la démonstration.
- Selon IDC, 57,7 % des entreprises n’ont pas encore clairement défini leur « minimum viable business ». Si vous ne savez pas ce que vous devez restaurer, comment pouvez-vous établir les priorités quant à ce qui doit être remis en service en premier ?
- Tout récupérer n’est pas une stratégie viable. La réussite de la Recovery dépend de la hiérarchisation des priorités et du contexte de l’entreprise.
- Pour être efficace, la Recovery nécessite une approche collective.
- La différence fondamentale entre la Recovery après incident informatique et la Recovery après sinistre réside dans la nécessité d’instaurer un climat de confiance.
- La vitesse n’est peut-être pas le meilleur indicateur de la capacité de Recovery, surtout si vous ne pouvez pas vous fier à vos sauvegardes.
- Les organisations gagnent la confiance grâce aux tests, et non pas uniquement grâce à la planification.
- ResOps offre un cadre permettant de faire de la résilience une discipline opérationnelle.
Quelle est la différence entre « être susceptible de se rétablir » et « être prêt à se rétablir » ?
Il y a quelques années, de nombreuses discussions sur la résilience se terminaient par une liste de contrôle.
- Sauvegardes ? Vérifier.
- Plan de Recovery ? Vérifier.
- Tests de reprise après sinistre ? Vérifier.
Aujourd’hui, ce niveau de garantie ne suffit plus.
Au cours du webinaire, Jason a fait part d’un point de vue que j’entends souvent de la part des clients : les entreprises sont généralement en mesure de préciser exactement combien elles investissent dans les technologies de sécurité et de protection, mais elles sont bien moins nombreuses à pouvoir expliquer avec certitude comment elles s’en sortiraient si ces mesures de contrôle venaient à échouer.
La distinction peut sembler subtile, mais elle est importante.
Être « récupérable » signifie que vous disposez de mécanismes susceptibles de faciliter la reprise. Être « prêt pour la reprise » signifie que vous avez démontré que ces mécanismes permettent de rétablir avec succès les opérations critiques de l’entreprise dans des conditions réelles.
À mesure que la résilience devient une préoccupation au niveau du conseil d’administration, les hypothèses cèdent la place aux données concrètes. Les dirigeants veulent avoir l’assurance que les plans de Recovery fonctionneront réellement lorsque la pression sera à son comble.
Quand les choses se compliquent, votre entreprise sait-elle ce qui compte le plus ?
L’une des conclusions les plus frappantes de l’étudeÉtude d’IDCc’est que57,7 % des organisations n’ont pas encore clairement défini leur modèle économique minimal viable.
Un « minimum viable business » ne se résume pas à une simple liste d’applications essentielles. Il s’agit de l’ensemble des personnes, des processus, des systèmes et des données nécessaires au bon fonctionnement de l’organisation en cas de perturbation. Il apporte une réponse à une question cruciale :
Qu’est-ce qui doit absolument revenir en premier ?
C’est là que de nombreuses stratégies de Recovery commencent à s’effondrer.
J’ai travaillé avec des entreprises qui savent quelles applications sont importantes, mais qui n’ont pas cartographié les dépendances qui les sous-tendent. D’autres continuent de considérer presque toutes les charges de travail comme essentielles à leur activité. Bien que cette approche puisse sembler prudente, elle pose un problème concret lors de la Recovery.
Quand tout est crucial, rien ne l’est
Recovery takes time. The infrastructures have limits. Dependencies are important.
Les organisations ne peuvent raisonnablement espérer restaurer l’intégralité d’un environnement de plusieurs pétaoctets immédiatement après un incident cybernétique de grande ampleur. Il est donc essentiel de définir des priorités.
Les organisations qui se relèvent le plus efficacement savent généralement très bien ce qui doit être rétabli en priorité, ce qui peut attendre, et quels résultats commerciaux dépendent de ces décisions. C’est ce que permet la définition d’un modèle d’activité minimal viable.
Aperçu : webinaire « Être prêt pour la Recovery »
L’un des thèmes que Jason et moi avons abordés tout au long du webinaire est le fait que la cyber-résilience relève d’une responsabilité partagée. De nombreuses organisations ont la fausse impression que la Readiness à la reprise après sinistre est un enjeu lié à l’infrastructure. Ce n’est pas le cas ; il s’agit d’un enjeu organisationnel. Cela nécessite une coordination entre les équipes chargées de la sécurité, de l’informatique, des affaires juridiques, de la communication et des activités opérationnelles afin de s’assurer que les applications et processus critiques, ainsi que les priorités en matière de reprise, sont clairement compris avant qu’une perturbation ne survienne.
Les plans de Recovery échouent lorsqu’ils sont mis en œuvre de manière cloisonnée
De nombreuses organisations abordent encore la résilience avec des équipes qui travaillent en vase clos. Les équipes chargées de l’infrastructure se concentrent sur les systèmes. Les équipes de sécurité se concentrent sur les menaces. Les dirigeants se concentrent sur la continuité des activités. Les équipes juridiques et de communication n’interviennent souvent qu’après la survenue d’un incident.
Le problème, c’est que les perturbations ne s’arrêtent pas aux frontières des organisations.
La réussite de la reprise des activités repose sur une prise de décision coordonnée entre toutes ces fonctions. Les priorités en matière de reprise, la communication avec les clients, les opérations commerciales, les obligations légales et les efforts techniques de remise en état doivent tous s’articuler en temps réel.
Un client a récemment comparé ses efforts en matière de planification de la résilience à la constitution d’une équipe de super-héros. Même s’il s’agissait d’une boutade, cette image reflétait parfaitement la réalité de la Readiness à la reprise d’activité dans le monde moderne. Ce sont les équipes, et non les technologies, qui permettent aux organisations de se remettre sur pied.
Pourquoi la cyber-reprise est fondamentalement différente de la reprise après sinistre
L’une des idées fausses dont nous avons parlé lors du webinaire est la conviction selon laquelle les plans traditionnels de Recovery peuvent simplement être adaptés à la Recovery après une cyberattaque.
En réalité, elles répondent à des problèmes différents.
Les solutions traditionnelles de reprise après sinistre s’articulaient souvent autour de scénarios de défaillance prévisibles : une panne de site, une défaillance de l’infrastructure, une perturbation connue déclenchant une réponse documentée. Les cyberincidents sont fondamentalement différents.
Les organisations doivent déterminer quels systèmes ont été compromis, quelles données sont fiables et si les mesures de Recovery risquent de réintroduire involontairement un Risk. Le défi ne réside pas simplement dans la restauration, mais dans la validation.
On ne peut pas rétablir ce en quoi on n’a pas confiance. Cette incertitude donne lieu à un processus de Recovery très différent.
Si les entreprises restaurent des systèmes compromis ou des données infectées, elles risquent de réintroduire le problème dans leur environnement de production. Les attaques ne cessant de gagner en sophistication, il devient de plus en plus important de vérifier l’intégrité des environnements restaurés.
Recovery ne se limite plus à la simple remise en service des systèmes. Il s’agit de rétablir la confiance.
Pourquoi la confiance prime sur la rapidité : une Recovery rapide peut tout de même être un échec
Cela nous amène à l’un des points les plus importants de notre discussion. Pendant des années, la réussite d’un rétablissement s’est principalement mesurée à l’aune de la rapidité.
- En combien de temps les systèmes peuvent-ils être remis en état de fonctionnement ?
- Dans quel délai les activités pourront-elles reprendre ?
Ces questions restent d’actualité. Mais la rapidité à elle seule ne suffit plus.
Une recovery qui réintroduit des logiciels malveillants, des identités compromises ou des données non fiables dans l’environnement de production ne peut être considérée comme véritablement réussie. C’est pourquoi de plus en plus d’entreprises investissent dans des environnements de recovery isolés, des exercices de validation et des tests de recovery destinés à vérifier l’intégrité des ressources restaurées avant leur retour en production.
Une récupération rapide n’a d’importance que si vous récupérez des données fiables.
MTCR : le nouvel indicateur de confiance dans la Recovery
Alors que les organisations repensent leur manière de mesurer la résilience, nombre d’entre elles vont au-delà des objectifs traditionnels de délai de reprise (RTO) et de point de reprise (RPO).
Au lieu de cela, ils se concentrent surdurée moyenne de rétablissement après un nettoyage.
Ce qui fait la valeur du MTCR, c’est qu’il reflète les réalités de la reprise après sinistre informatique moderne. Il ne s’agit pas seulement de la rapidité avec laquelle une organisation restaure ses données. Il prend également en compte le temps nécessaire pour valider, évaluer et remettre en production les systèmes en toute confiance.
Cette distinction est importante, car les organisations ne se contentent pas de rétablir leur infrastructure. Elles rétablissent leurs activités opérationnelles. Le MTCR reflète mieux la rapidité avec laquelle l’organisation peut revenir en toute sécurité à un état de fonctionnement fiable.
La confiance vient des tests
S’il y a une leçon que j’ai tirée de ma collaboration avec des organisations à différents stades de maturité en matière de résilience, c’est bien celle-ci : la confiance ne découle pas de la documentation.
La confiance vient des tests.
Les exercices de reprise statique permettent souvent de valider des processus connus dans des conditions idéales. Or, les perturbations rencontrées dans la réalité sont rarement aussi prévisibles.
Les organisations préparées à la Recovery effectuent des tests en continu. Elles simulent des conditions réalistes. Elles introduisent des facteurs d’incertitude. Elles identifient les dépendances. Elles détectent les failles avant que les attaquants ne le fassent.
Mais surtout, elles permettent de développer la « mémoire musculaire » organisationnelle.
Au cours du webinaire, Jason a partagé un point de vue que j’ai toujours trouvé convaincant : les organisations peuvent choisir de réfléchir à la situation pendant une période de stabilité, ou bien d’essayer de le faire en pleine crise. Le choix qui s’impose est évident.
Les tests ne se contentent pas de valider la technologie. Ils valident les personnes, les processus, la communication, les priorités et les hypothèses. Et c’est là que se construit la véritable confiance.
Le « ResOps » : quand Recovery devient une discipline opérationnelle
Tout au long de notre discussion, la quasi-totalité des défis que nous avons identifiés renvoyaient à un même besoin : les organisations doivent disposer d’un moyen de définir leurs priorités de manière cohérente, d’harmoniser les attentes des parties prenantes, de valider la capacité de reprise et de s’améliorer au fil du temps.
C’est précisément pour cette raison que les opérations de résilience, ou « ResOps », prennent de l’ampleur.
ResOps ne consiste pas à mettre en place un nouvel outil ou un nouveau processus. Il s’agit de concrétiser la résilience. Cette approche rassemble les personnes, les processus et la technologie au sein d’un cadre commun visant à assurer une validation et une amélioration continues.
Car, en fin de compte, la Readiness à la reprise n’est pas un projet. C’est une discipline.
Les organisations qui se démarqueront dans les années à venir ne seront pas simplement celles qui disposent de technologies de Recovery ou de plans documentés. Ce seront celles qui seront en mesure de démontrer que ces plans fonctionnent :
- Ils sauront ce qui compte le plus.
- Ils sauront comment le récupérer.
- Ils vérifieront qu’il est possible de se rétablir en toute sécurité, sans risque de réinfection.
- Et ils auront des preuves pour le démontrer.
En d’autres termes, elles ne seront pas seulement récupérables. Elles seront prêtes à être récupérées.
En savoir plus
Le rapport de l’IDC a également révélé que la résilience globale des organisations interrogées est compromise à la fois par des lacunes au niveau des technologies individuelles et par l’absence d’un cadre de coordination permettant de rassembler les fonctions métier, d’infrastructure et de sécurité autour d’un objectif commun de Recovery.
Pour en savoir plus sur cette étude :
- Regarder le webinaire Webinaire « Readiness for recovery » à la demande
- Télécharger le rapport : Rapport d’IDC sur les opérations de résilience
FAQ
Q : Qu’est-ce que ResOps ?
R :Les ResOps (opérations de résilience) constituent une discipline opérationnelle qui aide les organisations à valider et à améliorer en permanence leur capacité à se remettre d’une perturbation. Elles associent les personnes, les processus et la technologie afin de rendre la Readiness à la Recovery mesurable et vérifiable.
Q : Qu’est-ce qu’une « entreprise minimale viable » ?
R :Une « entreprise minimale viable » désigne l’ensemble des systèmes, processus, ressources humaines et données nécessaires pour poursuivre l’activité en cas de perturbation. Elle aide les organisations à hiérarchiser leurs efforts de Recovery lorsque tout ne peut pas être rétabli simultanément.
Q : En quoi la reprise après incident informatique diffère-t-elle de la reprise après sinistre ?
R :Les procédures traditionnelles de Recovery reposent sur des scénarios de défaillance prévisibles. La nature des cyberattaques étant imprévisible, la Recovery exige des organisations qu’elles recentrent leurs efforts sur l’identification des systèmes fiables, la validation des données restaurées et la garantie que les menaces ne réapparaissent pas dans les environnements de production.
Q : Qu’est-ce que le « mean time to clean recovery » (MTCR) ?
R :Le MTCR mesure le temps nécessaire à une organisation pour retrouver un état opérationnel vérifié et fiable. Il intègre des activités de Recovery, de validation et de renforcement de la confiance, plutôt que de se concentrer uniquement sur la rapidité de la restauration.
Q : Pourquoi les tests de reprise sont-ils importants ?
R :Les tests aident les organisations à mettre au jour les dépendances cachées, à valider leurs hypothèses, à acquérir une « mémoire musculaire » et à améliorer leurs processus de Recovery avant qu’une véritable perturbation ne se produise. La confiance en la capacité de Recovery s’acquiert par la pratique, et non par la paperasse.
Q : Pourquoi la résilience identitaire est-elle importante ?
R :Les systèmes d’identité jouent un rôle fondamental dans la Recovery. Si les utilisateurs ne peuvent pas accéder aux systèmes de production, aux environnements de Recovery ou aux données critiques, même les meilleurs plans de Recovery peuvent s’avérer difficiles à mettre en œuvre avec succès.
Q : Comment les organisations peuvent-elles évaluer leur état de préparation à la Recovery ?
R :Les organisations peuvent commencer par définir leur modèle économique minimal viable, tester régulièrement leurs processus de Recovery, valider les environnements restaurés et mesurer les résultats à l’aide d’indicateurs tels que le temps moyen nécessaire à une Recovery complète (MTCR).
Vidya Shankaranest directrice technique sur le terrain chez Commvault.