Comment élaborer un plan de continuité d’activité ?
Pour qu'un Plan de Continuité d'Activité (PCA) soit efficace, celui-ci doit être cadré, planifié par étapes et testé.
Article publié le 22 octobre 2020. Les chiffres, les outils et la réglementation qu'il cite ont pu évoluer depuis.
Le plan de continuité d’activité fixe les directives à suivre par l’entreprise en cas de sinistre. Une fois l’analyse de risques et d’impact établie, la stratégie de continuité définie, la réalisation du PCA s’inscrit logiquement dans cette démarche.
Pour qu’un plan de continuité d’activité soit efficace, il faut tout d’abord cadrer son plan de reprise, planifier les activités du plan et enfin s’assurer que cela fonctionne en le testant régulièrement.
Cadrage du plan
L’approche la plus pragmatique et efficace est de définir les missions, les objectifs et activités à mener. L’objectif est de sortir de l’état de sinistre avant tout. Pour cela il est primordial d’avoir une définition claire du sinistre, des objectifs, du périmètre, de délimiter le champ d’action ainsi que le contexte général du plan.
Les points importants à intégrer et à ne pas négliger dans un plan de reprise :
- Mise en place de la cellule de crise : définir les rôles clefs, les emplacements et équipements.
- Création d’un groupe de gestion de crise avec des missions et responsabilités définies
- Redémarrage des activités
- Récupération technique et opérationnelle
- Communication
Tous ces éléments devront être documentés dans le plan de communication et le plan de secours.
Planification des activités par étapes
L’entreprise doit définir son propre planning d’activité qui doit être réaliste et privilégier les activités prioritaires d’un plan. Mieux vaut la moitié des tâches achevées que toutes avancées à 50%.
Il est donc important de planifier les activités par étapes :
- Prise en compte du sinistre et évaluation des dégâts
- Prévention des équipes et production d’un rapport de sinistre
- Déclaration du sinistre
- Planification de la logistique d’intervention
- Récupération et reprise : les ressources critiques, informatiques ou non sont récupérées selon les options prévues
- Retour à la normale
- Bilan
Test du plan de continuité des activités
À ce stade le plan de continuité ne correspond qu’à une suite de travaux, de réflexions et de décisions synthétisés dans plusieurs documents. Il est indispensable de le tester et de s’assurer que cela fonctionne. Mais comment bien tester son PCA ?
- Cadrer les tests : définir leurs objectifs et leurs méthodes
- Élaborer un plan de tests : revue des tests, objectifs, périmètres et contraintes
- Définir la tactique et la logistique de test
- Établir un planning
- Réaliser une revue de risques
- Documenter le plan
- Exécuter les tests
- Faire un bilan des tests et suivre les actions d’améliorations
La continuité d’activité : organisation, planification et technologie
En conclusion, la continuité d’activité est une affaire d’organisation, de planification et de technologie. La technologie ne peut être efficace que si elle est utilisée avec des moyens et une mise en œuvre bénéfique en termes de continuité. Le choix des architectures, la mise en œuvre et les précautions à prendre sont les notions de base à une continuité d’activité.
Rédigé par l'équipe Veyan : des consultants seniors certifiés ISO/IEC 27001, EBIOS Risk Manager et DPO, au sein d'une société de conseil en cybersécurité fondée en 2017 à Guidel. Découvrir l'équipe
Questions fréquentes
Qu’est-ce qu’un plan de continuité d’activité ?
Le plan de continuité d’activité, ou PCA, fixe les directives à suivre par l’entreprise en cas de sinistre. Il s’élabore une fois l’analyse de risques et d’impact établie et la stratégie de continuité définie. Pour être efficace, il doit être cadré, planifié par étapes et testé régulièrement.
Que doit contenir un plan de reprise d’activité ?
Le cadrage définit le sinistre, les objectifs, le périmètre, le champ d’action et le contexte général du plan. Il intègre la mise en place de la cellule de crise, avec ses rôles clés, ses emplacements et ses équipements, un groupe de gestion de crise aux missions définies, le redémarrage des activités, la récupération technique et opérationnelle, et la communication.
Quelles sont les étapes d’un plan de continuité après un sinistre ?
L’entreprise planifie ses activités par étapes : prise en compte du sinistre et évaluation des dégâts, prévention des équipes et rapport de sinistre, déclaration du sinistre, logistique d’intervention, récupération et reprise des ressources critiques, retour à la normale, puis bilan. Le planning doit rester réaliste et privilégier les activités prioritaires.
Comment tester son plan de continuité d’activité ?
Cadrez les tests en définissant leurs objectifs et leurs méthodes, puis élaborez un plan de tests avec son périmètre et ses contraintes. Définissez la tactique, la logistique et le planning, réalisez une revue de risques et documentez le plan. Exécutez enfin les tests, faites-en le bilan et suivez les actions d’amélioration.
Sur quoi repose la continuité d’activité ?
La continuité d’activité est une affaire d’organisation, de planification et de technologie. La technologie n’est efficace que si elle s’accompagne des moyens et d’une mise en œuvre adaptés. Le choix des architectures, leur mise en œuvre et les précautions à prendre restent les notions de base de toute démarche de continuité.
Nos offres sur ce sujet
-
Prévenir
Gestion de crise et continuité
Préparer votre direction à une cyberattaque et organiser la reprise de vos activités vitales.
-
Mesurer
Analyse de risques EBIOS RM
Identifier les scénarios d'attaque qui menacent vraiment votre activité et y proportionner vos défenses.
