Retour au blog

PCA : 5 étapes pour le mettre en place + exemple !

Cybersécurité • 26 juin 2024

La mise en place d’un Plan de Continuité des Activités (PCA) efficace est indispensable pour assurer la résilience des entreprises en cas d’incident de sécurité.

 

Entre bonnes pratiques, exemples concrets, et mesures de cybersécurité à mettre en place, nous vous donnons les clefs pour construire un PCA robuste en 5 étapes.

 

Qu'est-ce qu'un PCA ? 

 

PCA : définition

 

Le Plan de Continuité des Activités (PCA) est un ensemble de procédures et de mesures préventives conçues pour garantir la continuité des services critiques d'une organisation en cas de perturbations majeures. Ces perturbations peuvent inclure des catastrophes naturelles, des cyberattaques, des pannes technologiques, ou même des erreurs humaines. L'objectif principal du PCA est de minimiser les interruptions opérationnelles et les impacts négatifs sur l'organisation en cas d’incidents.

 

PCA et obligations légales


La mise en œuvre d’un PCA est souvent guidée par diverses réglementations et normes qui varient selon les secteurs et les régions. Elles ont pour but de garantir que les entreprises adoptent des pratiques standardisées et efficaces en matière de continuité des activités.

  • Réglementation européenne : bien que principalement axé sur la protection des données personnelles, le Règlement Général sur la Protection des Données (RGPD) impose également des exigences strictes en matière de sécurité des données. Les entreprises doivent démontrer qu'elles ont mis en place des mesures appropriées pour garantir la résilience de leurs systèmes d'information.

  • Directives nationales : en France, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) fournit des recommandations spécifiques pour les PCA dans différents secteurs.1 Ces directives visent à renforcer la sécurité des infrastructures critiques et à assurer la continuité des services essentiels.

  • Normes internationales : la norme internationale ISO 22301 précise les exigences pour établir et gérer un système de gestion de la continuité des activités (BCMS). L'ISO 22301 fournit un cadre global pour identifier les cybermenaces, évaluer les impacts et mettre en œuvre des stratégies de continuité efficaces.

  • Réglementation sectorielle : les banques et les institutions financières doivent se conformer aux directives de la Banque Centrale Européenne (BCE) et des régulateurs nationaux. Ces directives imposent des exigences strictes en matière de continuité des services financiers pour assurer la stabilité du système en cas de perturbation.

 

Pourquoi mettre en place en PCA ?

 

1. Assurer la résilience et la poursuite des opérations

 

Un PCA permet à une entreprise de continuer à fonctionner même en cas de perturbations majeures. En définissant des procédures claires et des mesures de secours, l’organisation peut minimiser les temps d’arrêt et les impacts sur ses opérations. 

 

Par exemple, un PCA détaillera les étapes précises à suivre en cas de crise, incluant des procédures pour basculer vers des systèmes de secours, ce qui permet de réduire considérablement les interruptions. De plus, les mesures de secours, comme la redondance des serveurs et les sites de reprise après sinistre assurent une reprise rapide des opérations. 

 

2. Réduire les pertes financières

 

Les interruptions d'activité peuvent entraîner des pertes financières importantes dues à l'arrêt de la production, à la perte de revenus et aux coûts supplémentaires pour le rétablissement des opérations. Un PCA efficace aide à limiter ces pertes en permettant une reprise rapide des activités critiques. 


Par ailleurs, une entreprise ayant des plans préétablis pour la gestion des crises évite les coûts exorbitants de restauration d'urgence des services. D’autre part, un PCA prévient les pertes prolongées en assurant une reprise rapide, maintenant ainsi la confiance et les relations commerciales avec les partenaires et les clients.

Lorsqu’on sait que 54 % des entreprises victimes d’une cyberattaque ont subi une interruption de service de plus de 8 heures2 au cours des cinq dernières années, le PCA s’impose comme une nécessité pour réduire les pertes financières !

 

3. Protéger la réputation de l'entreprise

 

La manière dont une entreprise réagit face à une crise peut affecter sa réputation à long terme. Un PCA permet de gérer les communications internes et externes, répondant ainsi rapidement aux attentes des clients et des partenaires.

De plus, en répondant rapidement et efficacement à une crise, une entreprise montre son engagement envers ses clients. La capacité d'une entreprise à gérer efficacement ce type d’événement renforce en effet la confiance des clients, des partenaires et des investisseurs. 

 

4. Protéger les données et la propriété intellectuelle

 

 

Les cyberattaques et les pannes informatiques peuvent compromettre les données sensibles et la propriété intellectuelle de l'entreprise. 

 

Un PCA inclut des mesures de sécurité et des plans de sauvegarde pour protéger ces actifs critiques. Les sauvegardes régulières garantissent en effet la restauration rapide des informations critiques en cas de perte de données. 

 

Cependant, il n’en n’est pas moins indispensable de s'équiper d'outils internes pour renforcer la protection des données. Des solutions comme des systèmes de détection et de prévention des intrusions (IDS/IPS), des EDR, des outils de transferts et stockage sécurisé de fichiers, des logiciels de gestion des informations et des événements de sécurité (SIEM) ainsi qu’une gestion des accès au moindre privilège sont préconisés pour une protection optimale. 

 

 

5. Respecter les réglementations

 

La conformité aux réglementations en matière de continuité des activités et de protection des données est une obligation légale.

 

Comme évoqué plus haut, un Plan de Continuité des Activités aide les entreprises à se conformer aux réglementations en identifiant et en gérant les risques, en mettant en place des mesures de sécurité robustes, et en assurant la protection des données. 

 

Par ailleurs, un PCA bien documenté et régulièrement mis à jour permet de prouver la conformité aux régulateurs grâce à des rapports et des audits de sécurité, tout en répondant aux exigences de normes internationales comme l'ISO 22301 ou le RGPD.

En se conformant à ces réglementations, les entreprises évitent non seulement les pénalités légales, mais renforcent également leur réputation en tant qu'organisations responsables et fiables. Cela améliore la confiance des clients et des partenaires, qui savent que l'entreprise est bien préparée pour faire face aux crises et continuer à fournir des services de manière efficace. 

 

Cette conformité réglementaire peut de plus offrir un avantage concurrentiel, en démontrant un engagement à maintenir des standards de sécurité et de résilience opérationnelle élevés.

 

5 étapes pour mettre en place un PCA

 

 

schéma-étapes-mise-en-place-PCA

Étape 1 : analyser les risques et les impacts

 

La première étape dans l’élaboration d’un PCA consiste à identifier les menaces potentielles qui pourraient perturber les opérations de l'entreprise. Il s’agit surtout d’évaluer l’impact de ces risques sur les différentes fonctions de l’organisation. Pour ce faire, il convient de suivre les étapes suivantes :

 

  • Identifier les menaces : les cybermenaces peuvent être de différentes natures (cyberattaques, catastrophes naturelles, pannes technologiques, erreurs humaines…), c’est pourquoi il est important d’en dresser une liste exhaustive.

  • Évaluer les impacts : une fois les menaces identifiées, il s’agit d’évaluer leur impact potentiel sur les activités de l'entreprise. Cela inclut l'évaluation des effets sur les opérations, les finances, la réputation, et les obligations légales de l'entreprise. Par exemple, une cyberattaque pourrait entraîner une perte de données sensibles et un arrêt des systèmes critiques, alors qu'une catastrophe naturelle pourrait affecter les infrastructures physiques.

  • Prioriser les risques : la troisième étape consiste à classer les risques en fonction de leur probabilité et de leur impact. Les risques les plus critiques nécessitent une attention prioritaire dans le PCA.

 

Étape 2 : définir les stratégies de continuité


Après avoir identifié et évalué les risques, il est nécessaire de définir les stratégies de continuité pour maintenir ou rétablir les opérations critiques. Ces stratégies doivent inclure des mesures de prévention, de protection et de rétablissement pour assurer une résilience optimale :

 

  • Les mesures de prévention ont pour but de prévenir les incidents avant qu'ils ne surviennent. Par exemple, des systèmes de détection d'intrusion pour prévenir les cyberattaques ou des plans de maintenance pour éviter les pannes.

  • Les mesures de protection visent à protéger les actifs critiques de l'entreprise. Cela peut inclure des sauvegardes régulières, la redondance des systèmes, et l'utilisation de solutions de cybersécurité avancées.

  • Les mesures de rétablissement ont pour objectif de rétablir rapidement les opérations après une interruption. Par exemple, des plans de reprise après sinistre, des équipes d'intervention d'urgence, ou des accords de service avec des fournisseurs de secours font partie des mesures de rétablissements.

 

Étape 3 : élaborer et documenter le plan

 

Une fois ces étapes effectuées, place à l’élaboration du Plan de Continuité des Activités ! Le PCA doit être documenté de manière détaillée et compréhensible par toutes les parties prenantes de l'entreprise. Ce document doit inclure :

 

  • Les procédures à suivre : il s’agit de décrire en détail les étapes à suivre en cas de crise, y compris les actions immédiates et les mesures à long terme pour rétablir les opérations.

  • Les ressources nécessaires : l’entreprise doit identifier les ressources nécessaires pour mettre en œuvre le PCA (équipements, logiciels, personnel...).

  • Les responsabilités : il convient de définir clairement les rôles et les responsabilités des membres de l'équipe. Lors d’une crise, chaque collaborateur doit savoir exactement ce qu'il doit faire et à quel moment.

À noter : un bon Plan de Continuité des Activités doit être vivant et évolutif. Il doit inclure des informations sur la façon dont les mises à jour seront effectuées et comment les nouvelles menaces seront prises en charge.

 

Étape 4 : Former et sensibiliser le personnel

 

Ce n’est un secret pour personne, l’humain est le maillon faible de la cybersécurité. On estime même que dans près de 40 % des entreprises, les employés cachent les incidents de sécurité.3

C’est pourquoi il est essentiel d'organiser des sessions de formation et des exercices réguliers pour garantir la bonne réaction des collaborateurs en cas de crise. La sensibilisation du personnel à l'importance du PCA et à leurs rôles spécifiques peut être faite de plusieurs manières :

 

  • En organisant des sessions de formation régulières pour tout le personnel, couvrant les procédures du PCA, les meilleures pratiques en matière de sécurité, et les actions à entreprendre en cas de crise.

  • En menant des exercices de simulation de crise pour tester les réponses de l'équipe et identifier les améliorations possibles. Ces exercices permettent de renforcer la résilience cyber des collaborateurs, tout en améliorant les procédures existantes.

  • En assurant une communication continue sur l'importance du PCA et les mises à jour apportées au plan. Cela peut être fait par des bulletins d'information, des réunions d'équipe, ou des sessions de formation en ligne pour garder tout le monde informé et engagé.

Étape 5 : Tester et maintenir le PCA

 

 

Un PCA doit être testé régulièrement pour s'assurer de son efficacité et de sa pertinence. Les tests peuvent inclure des simulations de crise, des exercices de reprise des activités, et des évaluations continues des nouvelles menaces. Voici quelques approches :

 

  • Simulations de crise : effectuer des simulations de différents scénarios de crise pour tester la réactivité et l'efficacité du PCA. Par exemple, simuler une cyberattaque pour voir comment les équipes réagissent et comment les systèmes de secours sont activés.

  • Exercices de reprise des activités : tester les procédures de reprise après sinistre pour assurer que les systèmes critiques peuvent être restaurés rapidement. Cela peut inclure des tests de restauration de données à partir de sauvegardes et des basculements vers des sites de secours.

  • Évaluations continues : évaluer régulièrement le PCA pour identifier les nouvelles menaces et apporter les ajustements nécessaires. Intégrer les retours d'expérience des exercices, des tests d’intrusion et des incidents réels pour améliorer continuellement le plan.

 

PCA en entreprise : l'exemple du SIIM94 ! 

 

 

En mars 2023, le SIIM 94 a été victime d'une cyberattaque majeure, illustrant l'importance d'un PCA bien conçu. 

 

L'attaque, menée via le ransomware Lockbit 3.0, a exploité une vulnérabilité de Fortinet chez un adhérent de SIIM 94. Le cyberattaquant, en se latéralisant dans le système d'information de la collectivité, a ciblé le réseau plus vaste de SIIM 94 via une attaque par rebond. (Ce type d’attaque est très courant. D’après un récent rapport de Vérizon, 62 % des incidents liés à l’intrusion dans un système mettraient d’ailleurs en cause un partenaire externe !)4

 

La réactivité de l’équipe et la mise en place rapide du PCA a été capitale pour circonscrire l’attaque. Un ingénieur, connecté juste après le début de l’attaque, a permis de couper immédiatement les accès et d’intervenir. En moins de 24 heures, SIIM 94 avait identifié l’adhérent compromis, coupé les accès du hacker, et rétabli l’infrastructure.

 

Des analyses forensiques précises et des mesures de crise recommandées par l'ANSSI, (comme la coupure des accès internet et la déconnexion des villes adhérentes), ont permis de contenir l’attaque. Des PC dédiés et des clefs 4G, stockés dans des coffres-forts physiques, ont quant à eux facilité la reconstruction rapide du système d'information. Par ailleurs, la suite LockSelf a facilité la gestion sécurisée des mots de passe, accélérant la reprise des opérations.

 

Alors que près de la moitié des entreprises (41%) déclarent être dans l’impossibilité de restaurer toutes leurs données après un incident5 , l’ANSSI elle-même s’est montrée impressionnée par ce PCA très efficace, et la réaction rapide des équipes de SIIM 94.

Ce cas démontre que la préparation d’un PCA et l’usage d’outils sécurisés comme ceux proposés par la suite LockSelf sont essentiels pour minimiser les impacts des cyberattaques et garantir la résilience des opérations.

 

Découvrez le témoignage de Malik Himiche, RSSI de SIIM 94, qui nous explique en détails comment l'entreprise a réussi à circonscrire l'attaque en moins de 24 heures grâce à un PCA efficace.

 

 

RETOUR D'EXPÉRIENCE

Circonscrire une cyberattaque en moins de 24h

Découvrez le témoignage de Malik Himiche, RSSI du SIIM 94

 



Sources : 

1 https://www.economie.gouv.fr/files/hfds-guide-pca-plan-continuite-activite-_sgdsn.pdf

 

2 https://www.datacore.com/fr/blog/17-statistiques-choquantes-sur-la-reprise-apres-sinistre-et-la-resilience-des-entreprises-ou-en-est-la-votre-dans-ces-domaines-1ere-partie/


3 https://www.metacompliance.fr/blog-cybersecurite/sensibilisation-cybersecurite/erreur-humaine-facteur-humain-cybersecurite

 

4 https://www.netexplorer.fr/blog/cyberattaque-facteur-humain-responsable-de-80-des-cas/


5 https://www.itforbusiness.fr/resilience-80-des-entreprises-n-ont-pas-de-veritable-pra-64087 

Découvrez LockSelf

La solution cyber adaptée à vos équipes métiers

Certifiée par l'ANSSI.

Accédez à l'ensemble des fonctionnalités de la suite LockSelf pendant 14 jours, gratuitement.

LockSelf