Points clés à retenir
- ResOps n’est pas un produit technologique. Il s’agit d’une discipline opérationnelle transversale qui contribue à renforcer la cyber-résilience de l’organisation.
- Il vient compléter les processus de sauvegarde, de reprise après sinistre, de cybersécurité, de continuité d’activité et de gestion des incidents en harmonisant ces fonctions autour d’objectifs de Recovery de bout en bout.
- ResOps se concentre sur les services critiques et les seuils d’impact définis par l’entreprise, plutôt que sur des composants isolés de l’infrastructure.
- Ce système repose sur la production continue de données probantes, notamment des résultats de Recovery validés, des indicateurs de résilience des services et un inventaire interne des lacunes.
- La gestion des opérations de Recovery (ResOps) est un processus continu. Ni l’élaboration d’un plan, ni la réussite d’un exercice ponctuel ne suffisent à mettre en place une capacité de Recovery durable.
Le nouveau défi de la résilience
La plupart des entreprises investissent dans la cybersécurité, la sauvegarde,de Recovery,et la continuité des activités. Pourtant, de nombreux dirigeants sont encore confrontés à trois questions cruciales : Pouvons-nous nous remettre sur pied ? Combien de temps prendra cette reprise ? Et pouvons-nous le prouver ?
Une partie du défi réside dans le fait que la responsabilité de la résilience est répartie entre des équipes qui fonctionnent souvent en silos. La sécurité gère les menaces. L’informatique assure la maintenance des systèmes. Les équipes chargées de la sauvegarde et de la reprise après sinistre restaurent les données et l’infrastructure. Les équipes de continuité des activités s’attachent à maintenir le fonctionnement de l’organisation. Chacune joue un rôle important, mais la responsabilité de la reprise peut rester fragmentée.
ResOps rassemble ces fonctions autour de priorités, d’objectifs de Recovery et de preuves communs. Il en résulte une approche plus concrète de la résilience : identifier ce qui importe le plus, comprendre ce qu’il faut pour le rétablir, tester l’efficacité de Recovery et combler les lacunes identifiées.
Qu’est-ce que ResOps ?
ResOpsest la discipline opérationnelle qui rassemble la sécurité, les infrastructures et les opérations informatiques,continuité des activités, et les chefs d’entreprise autour des services critiques, d’une conception résiliente et d’une validation continue. En termes simples, ResOps aide les équipes à se préparer aux perturbations, à rétablir les services critiques dans les limites de tolérance d’impact définies par l’entreprise, et à démontrer de manière factuelle que le rétablissement fonctionne.
Quatre caractéristiques définissent ResOps. Il s’agit :
- Une approche transversale par nature. ResOps relie les responsabilités décentralisées grâce à un modèle opérationnel partagé, une attribution claire des responsabilités et une gouvernance au niveau de la direction.
- Axé sur les services essentiels. Il donne la priorité aux services que l’organisation doit rétablir pour offrir sa valeur fondamentale, servir ses clients et générer des revenus ; il contribue également à respecter les obligations urgentes en matière juridique, réglementaire, de sécurité et liées à sa mission.
- Validée en permanence. La résilience est une attitude que les équipes doivent cultiver et améliorer… et non un état déterminé par un test annuel.
- Mesurée à l’aide de données factuelles. ResOps génère un score de résilience (RPS) : un score par service, étayé par des données factuelles, qui évalue le niveau de récupérabilité d’un service critique donné en fonction des résultats de validation, de l’état des dépendances et du niveau de confiance dans une récupération sans incident.
Qu’est-ce que le ResOps n’est pas ?
Ce n’est pas une catégorie de produits.
Aucune plateforme ne peut à elle seule mettre en place le ResOps. Les technologies de protection des données, de Recovery informatique, d’automatisation, d’observabilité et de tests peuvent soutenir cette discipline, mais le ResOps relève de l’organisation. Il dépend de la gouvernance, de la responsabilité partagée, des priorités métier, des pratiques opérationnelles et d’une norme commune en matière de preuves.
Cela ne remplace pas les procédures de Backup and Recovery, ni la reprise après sinistre.
Le ResOps ne remplace pas des capacités solides de Backup and Recovery : il en dépend. La sauvegarde permet de vérifier si des copies récupérables existent. La Recovery fournit les procédures et les capacités techniques nécessaires à la restauration des systèmes et de l’infrastructure.
Mais le ResOps pose alors une question plus large : le service critique peut-il être rétabli complètement, sans faille et dans les limites de tolérance, y compris ses identités, ses applications, ses données, son infrastructure, ses services cloud, ses tiers, ses ressources humaines et ses processus décisionnels ?
Ce n’est pas un autre nom pour désigner la continuité des activités ou la gestion des incidents.
La continuité d’activité définit la manière dont l’entreprise fonctionne en cas de perturbation. La réponse aux incidents permet de détecter, de circonscrire et de gérer l’événement. ResOps relie ces disciplines au résultat de Recovery. Elle instaure un rythme opérationnel permettant aux équipes de s’accorder sur les priorités, de valider Recovery dans des conditions réalistes, de mesurer les résultats et de combler les lacunes mises en évidence par les tests.
Il ne s’agit pas d’une simple démarche de mise en conformité ni d’un projet ponctuel.
Un programme ResOps bien rodé peut contribuer à fournir des éléments probants aux conseils d’administration, aux autorités de régulation, aux assureurs, aux clients et aux auditeurs. Mais la documentation n’est qu’un résultat secondaire, et non l’objectif en soi. L’objectif est de démontrer la capacité de reprise.
Et comme les systèmes, les dépendances, les menaces et les priorités métier ne cessent d’évoluer, le ResOps n’est jamais « terminé ». Il fonctionne en continu, à l’instar de la planification financière ou des opérations de sécurité.
Quels changements ResOps apporte-t-il ?
ResOps ne se concentre plus sur le bon fonctionnement des systèmes et processus individuels, mais sur la capacité de l’ensemble du service critique à se rétablir. Cela modifie les questions que les dirigeants peuvent se poser.
Une sauvegarde réussie est importante. Il en va de même pour un plan de reprise. Mais aucun des deux ne permet de savoir si un service critique peut réellement être rétabli lorsque vous en avez besoin. ResOps adopte une vision plus globale :
- La Recovery a-t-elle été effectuée à partir d’un point de Recovery valide et validé ?
- Combien de temps cela a-t-il pris ?
- Avons-nous atteint les objectifs fixés par l’entreprise ?
- Et quels sont les points qui méritent encore une attention particulière ?
C’est pourquoi le ResOps est si important. Il permet aux organisations de dépasser les simples hypothèses de résilience pour passer à des démonstrations systématiques et fiables de leur capacité à se rétablir. Et elles y parviennent grâce à la production continue de preuves et à la traçabilité. Ainsi, lorsqu’une perturbation survient, la question n’est pas de savoir si chaque équipe a fait sa part ou qui a échoué dans quelle tâche. La question est de savoir si l’entreprise est capable de rétablir les services essentiels dont dépendent ses clients.
En savoir plus
Commvault a publiéResOps: Guide à l’intention des dirigeantsafin d’offrir aux RSSI, aux DSI et aux responsables de l’informatique, de la sécurité, de la résilience et de la gestion des risques un cadre pratique pour la mise en œuvre des ResOps au sein de leurs organisations.
Les dirigeants apprendront à identifier les services les plus critiques, à valider l’état de Readiness à la reprise à l’aide de preuves concrètes et à tester en continu la résilience. Ainsi, les organisations pourront mettre en place un modèle opérationnel unique qui rassemble les responsables de la sécurité, de l’infrastructure, des opérations informatiques et des activités commerciales autour d’une capacité de reprise fondée sur des preuves.Get theguide ici.
FAQ
Q : Le terme « ResOps » est-il simplement une nouvelle appellation pour désigner la reprise après sinistre ?
R : Non. La reprise après sinistre est un élément essentiel des ResOps, mais ces dernières prennent en compte l’ensemble du service critique — y compris les dépendances techniques, vis-à-vis de tiers, humaines et décisionnelles — et évaluent si celui-ci peut être rétabli dans les limites d’une tolérance d’impact définie par l’entreprise.
Q : ResOps nécessite-t-il l’achat d’une nouvelle plateforme ?
R : Non. La technologie peut faciliter la cartographie, les tests, Recovery et la collecte de preuves, mais ResOps repose avant tout sur la prise de responsabilité, la gouvernance, les priorités métier et les pratiques opérationnelles.
Q : À qui appartient ResOps ?
R : ResOps a besoin d’un responsable désigné, doté d’une autorité transversale et bénéficiant du soutien de la direction. Les responsables de chaque service restent en charge de leur service, tandis que les équipes chargées de la sécurité, de l’informatique, de la continuité d’activité et des opérations contribuent à l’objectif commun de Recovery.
Q : Comment mesure-t-on la réussite de ResOps ?
R : La réussite repose sur la démonstration concrète que les services critiques peuvent se rétablir sans heurts dans les limites de tolérance d’impact définies — et non pas simplement sur la mise en œuvre d’un plan ou sur la réussite d’une opération de sauvegarde.
Le score de résilience (RPS) constitue également un outil de mesure utile. En tant que score par service, fondé sur des données factuelles, le RPS permet de mettre en évidence le niveau de récupérabilité d’un service critique donné, en se basant sur les résultats de validation, l’état des dépendances et le niveau de confiance dans une récupération sans incident.
Q : Comment les entreprises peuvent-elles se lancer dans le ResOps ?
R : Commencez par identifier les services essentiels dont dépend l’entreprise, qui en est responsable, de quoi ils dépendent et dans quel délai ils doivent être rétablis. À partir de là, les équipes peuvent valider les plans de Recovery, identifier les lacunes et hiérarchiser les actions nécessaires pour renforcer la résilience.
Michael Thelanderis Senior Director of Product Marketing at Commvault.
