La mise en place d’un Plan de Continuité des Activités (PCA) efficace est indispensable pour assurer la résilience des entreprises en cas d’incident de sécurité.
Entre bonnes pratiques, exemples concrets, et mesures de cybersécurité à mettre en place, nous vous donnons les clefs pour construire un PCA robuste en 5 étapes.
Le Plan de Continuité des Activités (PCA) est un ensemble de procédures et de mesures préventives conçues pour garantir la continuité des services critiques d'une organisation en cas de perturbations majeures. Ces perturbations peuvent inclure des catastrophes naturelles, des cyberattaques, des pannes technologiques, ou même des erreurs humaines. L'objectif principal du PCA est de minimiser les interruptions opérationnelles et les impacts négatifs sur l'organisation en cas d’incidents.
La mise en œuvre d’un PCA est souvent guidée par diverses réglementations et normes qui varient selon les secteurs et les régions. Elles ont pour but de garantir que les entreprises adoptent des pratiques standardisées et efficaces en matière de continuité des activités.
Un PCA permet à une entreprise de continuer à fonctionner même en cas de perturbations majeures. En définissant des procédures claires et des mesures de secours, l’organisation peut minimiser les temps d’arrêt et les impacts sur ses opérations.
Par exemple, un PCA détaillera les étapes précises à suivre en cas de crise, incluant des procédures pour basculer vers des systèmes de secours, ce qui permet de réduire considérablement les interruptions. De plus, les mesures de secours, comme la redondance des serveurs et les sites de reprise après sinistre assurent une reprise rapide des opérations.
Les interruptions d'activité peuvent entraîner des pertes financières importantes dues à l'arrêt de la production, à la perte de revenus et aux coûts supplémentaires pour le rétablissement des opérations. Un PCA efficace aide à limiter ces pertes en permettant une reprise rapide des activités critiques.
Par ailleurs, une entreprise ayant des plans préétablis pour la gestion des crises évite les coûts exorbitants de restauration d'urgence des services. D’autre part, un PCA prévient les pertes prolongées en assurant une reprise rapide, maintenant ainsi la confiance et les relations commerciales avec les partenaires et les clients.
Lorsqu’on sait que 54 % des entreprises victimes d’une cyberattaque ont subi une interruption de service de plus de 8 heures2 au cours des cinq dernières années, le PCA s’impose comme une nécessité pour réduire les pertes financières !
La manière dont une entreprise réagit face à une crise peut affecter sa réputation à long terme. Un PCA permet de gérer les communications internes et externes, répondant ainsi rapidement aux attentes des clients et des partenaires.
De plus, en répondant rapidement et efficacement à une crise, une entreprise montre son engagement envers ses clients. La capacité d'une entreprise à gérer efficacement ce type d’événement renforce en effet la confiance des clients, des partenaires et des investisseurs.
Les cyberattaques et les pannes informatiques peuvent compromettre les données sensibles et la propriété intellectuelle de l'entreprise.
Un PCA inclut des mesures de sécurité et des plans de sauvegarde pour protéger ces actifs critiques. Les sauvegardes régulières garantissent en effet la restauration rapide des informations critiques en cas de perte de données.
Cependant, il n’en n’est pas moins indispensable de s'équiper d'outils internes pour renforcer la protection des données. Des solutions comme des systèmes de détection et de prévention des intrusions (IDS/IPS), des EDR, des outils de transferts et stockage sécurisé de fichiers, des logiciels de gestion des informations et des événements de sécurité (SIEM) ainsi qu’une gestion des accès au moindre privilège sont préconisés pour une protection optimale.
La conformité aux réglementations en matière de continuité des activités et de protection des données est une obligation légale.
Comme évoqué plus haut, un Plan de Continuité des Activités aide les entreprises à se conformer aux réglementations en identifiant et en gérant les risques, en mettant en place des mesures de sécurité robustes, et en assurant la protection des données.
Par ailleurs, un PCA bien documenté et régulièrement mis à jour permet de prouver la conformité aux régulateurs grâce à des rapports et des audits de sécurité, tout en répondant aux exigences de normes internationales comme l'ISO 22301 ou le RGPD.
En se conformant à ces réglementations, les entreprises évitent non seulement les pénalités légales, mais renforcent également leur réputation en tant qu'organisations responsables et fiables. Cela améliore la confiance des clients et des partenaires, qui savent que l'entreprise est bien préparée pour faire face aux crises et continuer à fournir des services de manière efficace.
Cette conformité réglementaire peut de plus offrir un avantage concurrentiel, en démontrant un engagement à maintenir des standards de sécurité et de résilience opérationnelle élevés.
La première étape dans l’élaboration d’un PCA consiste à identifier les menaces potentielles qui pourraient perturber les opérations de l'entreprise. Il s’agit surtout d’évaluer l’impact de ces risques sur les différentes fonctions de l’organisation. Pour ce faire, il convient de suivre les étapes suivantes :
Après avoir identifié et évalué les risques, il est nécessaire de définir les stratégies de continuité pour maintenir ou rétablir les opérations critiques. Ces stratégies doivent inclure des mesures de prévention, de protection et de rétablissement pour assurer une résilience optimale :
Une fois ces étapes effectuées, place à l’élaboration du Plan de Continuité des Activités ! Le PCA doit être documenté de manière détaillée et compréhensible par toutes les parties prenantes de l'entreprise. Ce document doit inclure :
À noter : un bon Plan de Continuité des Activités doit être vivant et évolutif. Il doit inclure des informations sur la façon dont les mises à jour seront effectuées et comment les nouvelles menaces seront prises en charge.
Ce n’est un secret pour personne, l’humain est le maillon faible de la cybersécurité. On estime même que dans près de 40 % des entreprises, les employés cachent les incidents de sécurité.3
C’est pourquoi il est essentiel d'organiser des sessions de formation et des exercices réguliers pour garantir la bonne réaction des collaborateurs en cas de crise. La sensibilisation du personnel à l'importance du PCA et à leurs rôles spécifiques peut être faite de plusieurs manières :
Un PCA doit être testé régulièrement pour s'assurer de son efficacité et de sa pertinence. Les tests peuvent inclure des simulations de crise, des exercices de reprise des activités, et des évaluations continues des nouvelles menaces. Voici quelques approches :
En mars 2023, le SIIM 94 a été victime d'une cyberattaque majeure, illustrant l'importance d'un PCA bien conçu.
L'attaque, menée via le ransomware Lockbit 3.0, a exploité une vulnérabilité de Fortinet chez un adhérent de SIIM 94. Le cyberattaquant, en se latéralisant dans le système d'information de la collectivité, a ciblé le réseau plus vaste de SIIM 94 via une attaque par rebond. (Ce type d’attaque est très courant. D’après un récent rapport de Vérizon, 62 % des incidents liés à l’intrusion dans un système mettraient d’ailleurs en cause un partenaire externe !)4
La réactivité de l’équipe et la mise en place rapide du PCA a été capitale pour circonscrire l’attaque. Un ingénieur, connecté juste après le début de l’attaque, a permis de couper immédiatement les accès et d’intervenir. En moins de 24 heures, SIIM 94 avait identifié l’adhérent compromis, coupé les accès du hacker, et rétabli l’infrastructure.
Des analyses forensiques précises et des mesures de crise recommandées par l'ANSSI, (comme la coupure des accès internet et la déconnexion des villes adhérentes), ont permis de contenir l’attaque. Des PC dédiés et des clefs 4G, stockés dans des coffres-forts physiques, ont quant à eux facilité la reconstruction rapide du système d'information. Par ailleurs, la suite LockSelf a facilité la gestion sécurisée des mots de passe, accélérant la reprise des opérations.
Alors que près de la moitié des entreprises (41%) déclarent être dans l’impossibilité de restaurer toutes leurs données après un incident5 , l’ANSSI elle-même s’est montrée impressionnée par ce PCA très efficace, et la réaction rapide des équipes de SIIM 94.
Ce cas démontre que la préparation d’un PCA et l’usage d’outils sécurisés comme ceux proposés par la suite LockSelf sont essentiels pour minimiser les impacts des cyberattaques et garantir la résilience des opérations.
Découvrez le témoignage de Malik Himiche, RSSI de SIIM 94, qui nous explique en détails comment l'entreprise a réussi à circonscrire l'attaque en moins de 24 heures grâce à un PCA efficace.
Sources :
1 https://www.economie.gouv.fr/files/hfds-guide-pca-plan-continuite-activite-_sgdsn.pdf
4 https://www.netexplorer.fr/blog/cyberattaque-facteur-humain-responsable-de-80-des-cas/
5 https://www.itforbusiness.fr/resilience-80-des-entreprises-n-ont-pas-de-veritable-pra-64087