Le Plan de Reprise d’Activité informatique est un sujet grandissant pour les entreprises. En effet, celles n’ayant pas de PRA informatique prennent le risque de subir un sinistre, entrainant un arrêt d’activité forcé.
Les statistiques des reprises d’activité informatiques de l’année 2020 sont édifiantes. Entre autre, elle a confirmé la montée en puissance de la menace des ransomwares. Les attaques sont de mieux en mieux préparées et organisées, utilisant plus de technicité. Wannacry a représenté la famille de ransomwares la plus active au premier trimestre 2020 et Ryuk est devenu le rançongiciel le plus rentable en 2020. Une tendance de fond qui incite les entreprises à réviser leurs parades de défense et à renforcer leur pouvoir de contre-attaque. Malheureusement, les prévisions montrent que ces attaques s’aggraveront sur les prochaines années.
En 2020, le risque d’incident cyber et d’interruption d’activité étaient respectivement la crainte N°1 et N°2 des dirigeants du monde entier. Mais lorsqu’on leur parle de Plan de Reprise d’Activité, ces mêmes dirigeants sont moins réceptifs. Pourquoi donc ?
Probablement à cause des mythes qui entourent le Plan de Reprise d’Activité! Cet article est là pour démystistifier 4 mythes relatif au PRA, et vous permettra peut-être de convaincre votre dirigeant!
1er mythe : Un Plan de Reprise d’activité ne sert que lors de sinistres majeurs, tels que les incendies ou inondations
Réalité : Les catastrophes naturelles ne sont pas les menaces les plus courantes pour la continuité d’activité d’une entreprise. Bien sûr, lorsque cela arrive, l’évènement est très médiatisé, nous nous rappelons bien entendu de l’incendie du datacenter d’OVH. Les cyber attaques, ransomwares sont des causes d’interruption d’activité plus fréquentes. Mais au delà de ça, les menaces proviennent de problématiques plus petites, mais aussi plus courantes, comme les pannes matérielles, logicielles, de réseau ou de courant.
Selon Veritis, 45% des interruptions de service en 2020 ont été causées par des défaillances matérielles. À l’inverse, seulement 5% ont été causés par des catastrophes naturelles et 22% sont directement liées à l’erreur humaine.
Afin de répondre à ces problématiques, certaines solutions de PRA permettent d’être lancées partiellement. Permettant ainsi de répondre à un incident sur une partie du SI.
2ème mythe : Le Plan de Reprise d’Activité et votre SI sont décorrélés
Réalité : Votre système d’information en production et PRA doivent être liés. Vous devez être sûr de pouvoir assurer la continuité de votre activité à tout moment. Pour cela, il faut que votre PRA évolue en même temps de votre SI (changement de gabarit, de nom de machine, du nombre de disque, de taille..). Par conséquent, il faut que vous choisissiez une solution de PRA qui permet de faire évoluer facilement le périmètre protégé.
Et, bien entendu, votre équipe doit être formée à réagir en cas de sinistre : Savoir qui alerter, à quel moment lancer le Plan de Reprise d’Activité et qui en a les droits.
Un PRA informatique qui ne suit pas les évolutions du SI a peu de chance d’être efficace en cas d’activation.
3ème Mythe : Penser que l’on n’a pas besoin d’un Plan de Reprise d’Activité car on a déjà mis en place une stratégie de sauvegarde
Réalité : Avoir une stratégie de sauvegarde efficace est indispensable. Mais la sauvegarde de vos données n’est qu’une partie de votre solution de reprise d’activité. Pour vous assurer de pouvoir redémarrer vos activités en cas d’incident, il vous faut un plan détaillé de comment accéder à vos sauvegardes, les restaurer, l’ordre, selon les dépendances de vos serveurs, puis assurer la reconnexion de vos utilisateurs.
Bon nombre d’entreprises ont une stratégie de sauvegarde qu’ils jugent efficace, sans prendre en compte la distance du stockage ou le réseau. C’est en prenant en compte ces éléments que vous pourrez avoir une approximation du temps de restauration. Il est possible qu’il faille plusieurs semaines, voir plusieurs mois pour restaurer les éléments critiques aux besoins métiers. Cette analyse est cruciale, car plusieurs entreprises attaquées par des ransomwares ont préféré payer la rançon demandée plutôt que de restaurer leur sauvegarde, en raison du temps de restauration trop long.
Toutes les organisations devraient à la fois tester leurs sauvegardes et développer un plan pour hiérarchiser la restauration des systèmes critiques nécessaires pour reconstruire leur réseau.
Il existe des nombreuses solutions de Plan de Reprise d’Activité. Nuabee a choisi de créer une solution de PRA pour les PME, ETI et collectivités. Celles-ci n’avaient pas accès aux PRA traditionnels à cause de leurs coûts et de leurs besoins en ressources humaines pour l’administrer. UCover by Nuabee est une solution de protection pour votre SI, comprenant 3 classes de protection progressives, de la sauvegarde externalisée au PRA Cloud. La solution est 100% managée par des équipes expertes. Les tarifs compétitifs de UCover sont dûs au modèle Cloud, aux 3 classes de protection progressives et au tarif de stockage dans le Cloud.
4ème mythe : Si une entreprise se protège suffisamment contre les risques potentiels, un PRA n’est pas nécessaire
Réalité : Un PRA n’est pas fait pour atténuer les risques, en préventif, mais est mis en place en curatif. Il permet de reprendre les activités lorsqu’un sinistre affecte les SI de l’entreprise.
On entend souvent la référence à la ligne Maginot de la cybersécurité. Ce concept est devenu complètement obsolète, car il faut aussi penser à une approche complète de protection, tant en amont, qu’en aval. Et c’est à ce titre que le terme de Cyber résilience prend tout son sens.
L’approche de la cyber-résilience est un cercle vertueux en 4 grandes étapes : Anticiper les attaques, y résister, avoir un plan de reprise d’activité et de management d’incident et avoir une stratégie d’évolution à la clé.
Pour l’aider à tout ça, le DSI peut avoir recours aux nouvelles technologies d’automatisation, comme le PRA as a service, qui permet de systématiser des contrôles ou des actions de manière adaptative, sans risquer les erreurs dues à l’humain. Un plan de reprise après sinistre efficace commence par l’identification et l’évaluation des risques potentiels.
