Mesurer, rendre compte et améliorer la résilience opérationnelle

La résilience opérationnelle est devenue le facteur déterminant qui distingue les organisations qui prospèrent de celles qui se contentent de survivre aux perturbations. Alors que78 % des organisations déclarent avoir été ciblées par un rançongiciel au cours de l’année écoulée, la capacité à maintenir les services métier critiques pendant et après les incidents constitue un avantage concurrentiel.

Les entreprises modernes sont confrontées à un triple défi : des cybermenaces sophistiquées, des exigences réglementaires strictes et la complexité des infrastructures distribuées. Letemps de persistance médian mondial de 11 joursentre la compromission initiale et la détection montre que les approches de sécurité traditionnelles ne suffisent pas à elles seules à protéger pleinement la continuité des activités.

Mettre en place une véritable résilience va souvent au-delà des simples plans de secours et procédures de Recovery. Cela exige une approche systématique pour mesurer, rendre compte et améliorer en permanence la capacité de votre organisation à absorber les perturbations et à s’en remettre, tout en maintenant la prestation de services dans des limites acceptables.

La résilience opérationnelledésigne la capacité de votre organisation à prévenir les perturbations, à s’y adapter, à y répondre et à s’en remettre, tout en continuant à fournir les services métier essentiels. Contrairement à la planification traditionnelle de la continuité des activités, qui se concentre sur des scénarios spécifiques, la résilience opérationnelle adopte une vision globale de l’ensemble de votre écosystème, y compris la technologie, les processus, les personnes et les dépendances vis-à-vis de tiers.

Les cinq piliers de la résilience opérationnelle constituent un cadre stratégique permettant de mettre en place une approche globale de la protection :

1. Taxonomie des services et seuils de tolérance : identification des services métier critiques (CBS) et définition des seuils de tolérance en matière d’impact.
2. Cartographie des dépendances : comprendre l’ensemble des composants, y compris ceux provenant de fournisseurs tiers.
3. Tests de scénarios : exercices réguliers visant à valider les capacités de Recovery après sinistre.
4. Réaction et rétablissement : plans éprouvés, accompagnés de preuves attestant du respect des limites de tolérance.
5. Gouvernance et amélioration continue : contrôle par le conseil d’administration, auto-évaluation et mesures correctives financées.

La continuité d’activité se concentre généralement sur la reprise après des événements spécifiques, tandis que la résilience opérationnelle permet de relever le défi plus large du maintien des services face à divers types de perturbations. Cette évolution reflète les attentes réglementaires : au Royaume-Uni, par exemple,la Financial Conduct Authority a commencé à exiger des entreprises qu’elles démontrent leur capacité à rester dans les limites des tolérances d’impact d’ici 2025.

Ce tableau présente une feuille de route structurée pour la mise en œuvre de chaque pilier, avec des étapes clés et des critères de validation clairement définis.

Il est essentiel de bien comprendre la distinction entre les indicateurs de mesure et les indicateurs clés de performance (KPI) pour assurer une gestion efficace de la résilience. Les indicateurs de mesure représentent des données brutes qui évaluent des aspects spécifiques de vos opérations, tandis que les KPI sont des indicateurs de performance sélectionnés qui sont directement liés aux objectifs stratégiques de résilience et aux exigences réglementaires.

Indicateurs clés de résilience à suivre

Les indicateurs suivants constituent la base de la mesure quantitative de la résilience et facilitent la prise de décision fondée sur les données :

• Temps de détection (TTD) : mesure la rapidité avec laquelle vos systèmes identifient les anomalies ou les incidents de sécurité. Avec untemps de persistance médian de 11 jours à l’échelle mondiale, les organisations qui réduisent le TTD limitent considérablement les dommages potentiels et la complexité de la Recovery.
• Temps moyen de Recovery propre (MTCR) : correspond au temps réel nécessaire pour rétablir les services dans un état « propre » vérifié, ce qui permet de s’assurer qu’ils sont exempts de logiciels malveillants connus ou de corruption de données. Cet indicateur va au-delà d’une simple Recovery ; il garantit que les systèmes restaurés sont fiables. Les entreprises signalent toutefois que la Recovery propre prend souvent plus de temps.
• Taux de réussite de la Recovery : permet de suivre le pourcentage de tests de Recovery qui respectent les objectifs de tolérance aux impacts que vous avez définis. Avecseules 13 % des entreprises parviennent à restaurer intégralement leurs données après une attaque par ransomware, cet indicateur met en évidence l’écart entre les tentatives de Recovery et les résultats positifs.
• Analyse des écarts : elle permet de quantifier dans quelle mesure l’état actuel de votre CBS s’écarte des niveaux de résilience souhaités. Cela inclut les lacunes en matière de couverture des contrôles, telles que les services ne disposant pas de sauvegardes immuables ou de guides d’intervention testés.

Les membres du conseil d’administration et les autorités de régulation se concentrent principalement sur une question cruciale : l’organisation est-elle en mesure de maintenir ses services dans les limites de tolérance aux impacts définies en cas de perturbations ? Cette préoccupation centrale détermine la structure et le contenu d’un rapport efficace sur la résilience opérationnelle.

Le rapport sur la tolérance aux impacts doit démontrer clairement votre capacité à maintenir les systèmes critiques de l’entreprise (CBS). Un rapport efficace sur la résilience opérationnelle comporte trois sections essentielles qui offrent une visibilité complète sur l’état de Readiness de votre organisation :

1. Aperçu de l’état du CBS : cette section offre une représentation visuelle claire de la situation actuelle de chaque service critique par rapport à son seuil de tolérance. Elle utilise des indicateurs de type « feu tricolore » (rouge/orange/vert) pour indiquer si les services fonctionnent dans les limites de tolérance, s’approchent de ces limites ou si elles sont dépassées.
2. Preuves relatives à l’assurance des tests : fournissez des documents attestant que tous les plans de reprise font l’objet d’une validation régulière par le biais de tests automatisés. Indiquez des indicateurs tels que les taux de réussite de Commvault Cleanroom, la fréquence des tests et les délais de reprise atteints. Ces preuves démontrent non seulement une capacité théorique, mais aussi des performances avérées.
3. Feuille de route pour la mise en conformité : présenter un résumé hiérarchisé des risques identifiés et des ressources nécessaires pour combler les lacunes en matière de résilience. Mettre l’accent sur les améliorations à fort impact qui influent directement sur la conformité aux exigences de tolérance du CBS, en fixant des échéances claires et en attribuant les responsabilités.

ResOpstransforme des données fragmentées en informations cohérentes qui permettent d’améliorer de manière mesurable la résilience de l’organisation. En brisant les cloisonnements traditionnels entre les équipes chargées de la sécurité, des opérations informatiques et de la continuité d’activité,ResOps offre une vue d’ensemble complète du niveau de résilience.

Source de données unifiée

ResOps regroupe les indicateurs provenant de systèmes disparates au sein d’une source unique de référence. Cette intégration permet de relever le défi posé par le fait que77 % des entreprises affirment que le manque d’intégration des outils entrave la détection des menaces. En extrayant des données des systèmes de sauvegarde,gestion des identités, des outils de sécurité, etorchestration de la repriseGrâce à ses plateformes, ResOps offre une visibilité complète sur l’état de Readiness en matière de résilience.

Assurance automatisée

Des tests automatisés en continu grâce à des fonctionnalités telles queSalle blanche Commvaultfournit des données MTCR vérifiées qui résistent à l’examen des autorités réglementaires. Cette automatisation transforme les tests, qui ne sont plus des exercices ponctuels mais une validation continue, certaines organisations étant désormais en mesure deVérifier la Recovery tous les mois si vous le souhaitez.

L’automatisation permet également de simplifier des données techniques complexes pour en faire des informations exploitables par les dirigeants. Au lieu de présenter des journaux de Recovery bruts, les plateformes ResOps génèrent des rapports clairs indiquant si chaque CBS est capable de se rétablir dans les limites de la tolérance définie, en s’appuyant sur des preuves horodatées issues de tests réels.

Stratégies de communication pour renforcer la résilience

Pour élaborer des rapports de résilience efficaces, il est nécessaire d’adapter le contenu et la présentation à chaque public, tout en garantissant la cohérence des données sous-jacentes. Les tableaux de bord destinés aux dirigeants doivent trouver le juste équilibre entre exhaustivité et clarté, en fournissant des informations exploitables sans pour autant noyer le lecteur sous une multitude de détails.

Les différentes parties prenantes ont besoin de points de vue différents sur les données relatives à la résilience. Les dirigeants ont besoin d’analyses de tendances et de synthèses sur l’exposition aux risques ; les auditeurs ont besoin de preuves détaillées et de cartographies de conformité ; les unités opérationnelles souhaitent connaître les capacités de Recovery et les dépendances spécifiques à chaque service.

Une communication cohérente favorise la responsabilisation à tous les niveaux de l’organisation. Des cycles de reporting réguliers, des indicateurs standardisés et une répartition claire des responsabilités permettent d’instaurer une culture dans laquelle la résilience devient la responsabilité de tous, et non plus le seul domaine de compétence du service informatique.

Structure du tableau de bord de direction

Le cadre ci-dessous présente les éléments essentiels d’un tableau de bord de direction complet, assorti de fréquences de mise à jour adaptées :

Le renforcement de la résilience nécessite des approches systématiques alliant une planification proactive, une validation régulière et une amélioration continue fondée sur les enseignements tirés de la pratique.

Les exercices sur table restent essentiels pour tester les procédures d’intervention sans perturber les opérations. Ces simulations doivent refléter les informations actuelles sur les menaces, avec des scénarios s’inspirant d’incidents réels ayant touché des organisations homologues. Il convient d’y associer des participants tiers, carLes deux tiers des pannes rendues publiques sont dues à des défaillances de fournisseurs tiers.

Les analyses post-incident permettent de transformer les échecs en occasions d’apprendre. Les organisations doivent aller au-delà de la recherche de responsables pour comprendre les problèmes systémiques ;85 % des pannes majeures dues à une erreur humaine sont imputables au non-respect des procédures par le personnelou des failles dans les processus.

Guide de mise en œuvre pour le renforcement de la résilience

Ce guide de mise en œuvre propose une approche structurée pour développer et maintenir des capacités de résilience, avec une répartition claire des responsabilités et des critères de réussite bien définis.

Une entreprise mondiale de logistique présente sur plus de 200 sitesa compris que la résilience opérationnelle n’était pas qu’une notion théorique lorsque des ransomwares ont chiffré ses données de production et son infrastructure de sauvegarde. L’attaque a immobilisé les camions et laissé les clients dans l’attente, mais des décisions stratégiques prises plusieurs mois auparavant ont permis une reprise au moins deux semaines plus rapide qu’elle ne l’aurait été autrement.

L’ingénieur système senior de l’entreprise revient sur cette expérience : « Il faut s’attendre à une intrusion. La question n’est pas de savoir si cela arrivera, mais quand. »

Le défi : une protection fragmentée face à une attaque réelle

Les acquisitions fréquentes avaient conduit l’équipe informatique à gérer plusieurs solutions de protection des données au sein de son infrastructure cloud hybride, qui comprenait Microsoft 365, SQL, Oracle, Sybase, OneDrive, SharePoint, Active Directory, des serveurs de fichiers et des machines virtuelles. L’entreprise avait entamé une consolidation à l’échelle mondiale avec Commvault Cloud, une solution permettant de simplifier la gestion et la reprise après sinistre.

Lorsque l’attaque par ransomware a frappé, elle a chiffré toutes les données de production et mis hors service CommServe et MediaAgents. Les attaquants avaient compromis à la fois les systèmes principaux et les sauvegardes. Cependant, une décision cruciale s’est avérée vitale : l’entreprise avait stocké une copie de sauvegarde de reprise après sinistre de son CommServe dans Commvault Cloud, séparée de son infrastructure sur site, ce qui a permis de soutenir les efforts de Recovery.

La réponse : Recovery des systèmes critiques en 72 heures

L’équipe informatique a immédiatement fait appel au support Commvault et à l’équipe des services de réponse aux incidents, disponible 24 h/24 et 7 j/7. Le support a d’abord restauré la base de données CommServe à partir du cloud, permettant ainsi à l’équipe de reconstruire son serveur sur site et ses trois MediaAgents. L’équipe de réponse aux incidents a ensuite pris le relais, traitant une liste d’applications classées par ordre de priorité en fonction de leur impact sur l’activité.

« Une équipe d’ingénieurs Commvault a soutenu notre équipe jour et nuit pour restaurer nos systèmes », a déclaré l’ingénieur système senior. « Ils ont tenu compte de nos priorités et nous ont conseillé sur les meilleures pratiques pour accélérer la restauration. Ce fut une véritable collaboration. »

Les systèmes les plus critiques ont été remis en service dans les 72 heures suivant l’intervention de l’équipe de gestion des incidents. Le reste des systèmes de production a été restauré en moins d’une semaine, ce qui a permis de reprendre les livraisons et de minimiser les perturbations pour les clients détaillants et les clients finaux.

L’impact : valeur de Recovery quantifiée

Le directeur de l’infrastructure et des opérations informatiques estime que sans l’intervention de Commvault, la durée d’indisponibilité se serait prolongée d’au moins deux semaines. L’entreprise a évité de payer la rançon et a maintenu ses opérations, protégeant ainsi à la fois son chiffre d’affaires et ses relations clients.

Cet incident réel confirme les indicateurs de résilience évoqués précédemment. Le MTCR de l’entreprise pour les systèmes critiques s’est établi à 72 heures, un résultat nettement meilleur que celui observé lors d’attaques par ransomware.

Leçons tirées : renforcer la résilience pour l’avenir

À la suite de cet incident, l’entreprise a mis en œuvre plusieurs améliorations en s’appuyant sur les enseignements tirés. Elle a documenté un plan de Recovery complet, étendu ses copies de sauvegarde au cloud et à divers supports, et vérifié la bonne exécution des sauvegardes par des tests approfondis.

Depuis, l’entreprise de logistique a adopté Commvault comme solution standard à l’échelle mondiale, en y ajoutant Commvault Grid pour bénéficier de Backup and Recovery hautes performances, d’une protection renforcée contre les rançongiciels et d’une plus grande évolutivité. Elle a également souscrit aux services de gestion à distance (Remote Managed Services) pour bénéficier d’une surveillance 24 h/24 et 7 j/7, d’interventions correctives et d’une analyse annuelle de l’état de santé et de la sécurité.

« Commvault Cloud est désormais notre solution de cyber-résilience à l’échelle mondiale », a déclaré le directeur de l’infrastructure et des opérations informatiques. « Lorsqu’une faille de sécurité s’est produite, Commvault s’en est sorti haut la main et a renforcé ma confiance en eux. C’est un véritable partenaire, pas un simple fournisseur. »

La plateforme de protection des données de Commvault aide les entreprises à relever les défis liés à la mesure, au reporting et à l’amélioration auxquels elles sont confrontées dans le cadre du renforcement de leur résilience opérationnelle. L’architecture unifiée de la plateforme permet de réduire la fragmentation qui entrave les efforts de résilience, tout en offrant une visibilité et un contrôle sur l’ensemble des environnements hybrides.

Les fonctionnalités de sauvegarde automatisée permettent de réduire les erreurs humaines tout en garantissant la cohérence au sein d’une infrastructure hétérogène. Grâce aux fonctionnalités intégrées de validation et de test, les entreprises ont l’assurance que la Recovery s’effectuera avec succès en cas de besoin. La capacité de la plateforme àautomatiser entre 50 et plus de 100 étapes dans le cadre de restaurations complexes, telles que la restauration d’une forêt Active Directorypermet de transformer des processus manuels qui duraient plusieurs jours en quelques heures de Recovery coordonnée.

Les fonctionnalités de portabilité dans le cloud permettent aux entreprises de préserver leur résilience face à l’évolution des environnements d’infrastructure. Qu’il s’agisse de protéger des applications SaaS, des charges de travail natives du cloud ou des systèmes traditionnels sur site, Commvault est conçu pour offrir des capacités de protection et de Recovery cohérentes qui s’adaptent aux besoins de l’entreprise.

Tableau de bord des performances de Commvault

Cette fiche d’évaluation présente les principaux objectifs de performance et les méthodes de validation des capacités essentielles de résilience de Commvault.

La mesure et le reporting de la résilience opérationnelle permettent de transformer des concepts abstraits en informations exploitables que les conseils d’administration, les autorités de régulation et les équipes opérationnelles peuvent utiliser pour prendre des décisions éclairées. Les organisations qui tirent parti des perturbations sont celles qui considèrent la résilience comme une discipline permanente, et non comme un projet ponctuel.