La continuité et la reprise constituent l'ensemble des pratiques qui maintiennent en fonctionnement les activités essentielles d'une organisation pendant une perturbation et rétablissent ensuite le fonctionnement normal. La planification de la continuité d'activité, ou PCA, se concentre sur le maintien des activités critiques, tandis que la reprise après sinistre, ou PRA, se concentre sur le rétablissement de la technologie et des données dont ces activités dépendent. La gestion de crise coordonne les personnes et les décisions qui orientent la réponse.
Au sein de la gouvernance opérationnelle, la continuité et la reprise encadrent la préparation de l'organisation aux jours où les contrôles sont mis à l'épreuve par des événements réels. Elles relient l'appréciation du risque, qui identifie ce qui pourrait perturber les opérations, à des plans, rôles et ressources concrets qui réduisent les interruptions et les pertes lorsque la perturbation survient.
Ce domaine est important car les perturbations, qu'elles proviennent d'une défaillance technique, d'une erreur humaine ou d'événements externes, sont une question de quand plutôt que de si. Les organisations qui ont planifié, documenté et répété leur réponse se rétablissent plus vite et avec moins de préjudice pour leurs clients, leurs finances et leur réputation que celles qui improvisent sous pression.
Le travail consiste à comprendre quelles fonctions sont les plus critiques et combien de temps elles peuvent rester indisponibles, à fixer des objectifs de reprise, à documenter les plans et à attribuer des responsabilités claires. Tout aussi important est le fait de tester au moyen d'exercices, car un plan jamais répété échoue souvent la première fois qu'on en a besoin. Les plans sont revus et mis à jour à mesure que l'activité évolue.
Références#
- ISO 22301, Systèmes de management de la continuité d'activité.
- NIST SP 800-34, Contingency Planning Guide for Federal Information Systems.