Duquesne Group Duquesne Group

English version
Recherche et Analyse

Pour éclairer les décideurs dans le domaine de la Continuité d'Activité et de la Sécurité de l'Information, Duquesne Group propose ses analyses et réflexions issues de ses réalisations concrètes en clientèle. Observation critique du terrain par nos experts, contacts permanents avec les principaux acteurs du domaine et expérience vécue dans nos missions de conseil sont nos principales sources. Contactez-nous pour en savoir +
French version
Research

To support decision makers in the management and optimisation of information systems, Duquesne Group delivers in-depth analyses of information technologies, their implementations and their markets. Our research is based on critical observation of the market by our analysts and their on-going contacts with the vendor community, together with hands-on, practical experience from our consulting work. Contact us to find out more


La stratégie de continuité : prévoir, arbitrer ... et revisiter


Définir une stratégie de continuité consiste à décider à l'avance dans les grandes lignes, ce qui sera fait lorsqu'il y aura un sinistre. Cela nécessite bien sûr un travail préalable d'analyse des sinistres possibles et d'étude de leurs impacts.

Mais au-delà, cela suppose des décisions de Direction générale sur les risques que l'entreprise peut prendre et les dispositifs qu'elle veut mettre en oeuvre. L'importance de cette stratégie est telle qu'elle ne peut être laissée au hasard des évènements ou des évolutions technologiques.



La stratégie de continuité : prévoir, arbitrer ... et revisiter

L'existant en terme de PCA/PRA est varié

Toute entreprise a déjà plus ou moins fait des choix en matière de continuité. Ces choix sont plus ou moins récents, plus ou moins implicites et documentés, et surtout d'ampleur ou d'ambition variables.

Quelques exemples :

  • Une entreprise a décidé pour certaines applications d'utiliser des serveurs en cluster et choisi de les installer dans deux centres voisins (à 500 m) ; elle se protège ainsi d'une panne ou d'un incident sur un centre.

  • Une autre a choisi de recourir à une prestation externe de reprise de ses quarante serveurs critiques chez un infogéreur à deux cents kilomètres.

  • Une troisième enfin, se fait héberger quelques serveurs de secours chez un "hébergeur" à trente kilomètre de son seul et unique centre.

Sur ces trois exemples on voit clairement que l'entreprise a fait des hypothèses de sinistre et a pris des mesures de couverture. Dans une grande entreprise, il est courant de rencontrer un mélange de ces choix.

Les sénarios de sinistre contre lesquels l'entreprise se protège

Chaque choix indique des craintes de sinistres majeurs à éviter.

Sur les trois exemples précédents, il est clair que les préoccupations différentes ont présidé aux choix :

  • La première entreprise craint la panne de serveur ou de salle et privilégie une reprise rapide dans la "salle d'à côté". En revanche, en cas de perte de ses deux sites campus, ou de dysfonctionnement grave de son cluster, elle n'a rien prévu de particulier...or cela peut arriver et durer -qui plus est- longtemps.

  • La deuxième entreprise quant à elle, a mis sur place une solution qui couvre de nombreux sinistres potentiels, ce qui est favorable, mais qui en contrepartie est assez longue à activer. Les applications les plus exigeantes ne pourront pas redémarrer avant, disons, quatre heures.

  • Enfin, la troisième entreprise craint la perte de son seul centre et met en place un secours tiède (assez rapide) chez un tiers suffisamment loin pour être éloigné du sinistre, mais suffisamment près pour être accessible à des copies en mode synchrone.

Ces trois exemples suffisent à illustrer ce que doit être une stratégie de continuité : un choix de scénarios de sinistres à éviter et de solutions de secours plus ou moins rapides et complètes à privilégier.

Ce choix de scénarios prend en compte des sinistres plus ou moins larges et fréquents :
  • sinistre sur une salle, le plus fréquent
  • sinistre sur un site, moyennement fréquent
  • sinistre sur une région, le moins fréquent

Il faut noter aussi que la "sortie de sinistre" est plus ou moins rapide : un sinistre régional peut durer longtemps, plus longtemps en tout cas qu'un sinistre sur une salle seule.

De plus, à cause de la distance, le PRA sur site lointain sera plus long à activer que le PRA sur site proche. On le voit bien, des compromis coût-efficacité sont à faire, l'aversion au risque peut influencer les décisions. Tout cela s'analyse et se "soupèse".

La stratégie de continuité : prévoir, arbitrer ... et revisiter

Les PRA en place sont à vérifier régulièrement

Il est courant que des responsables d'exploitation informatique affirment sans ambages "nous avons un PRA".

Cette affirmation doit s'accompagner d'une suite du genre "contre la perte de notre site" ou "contre un sinistre régional" par exemple. Or ce complément nécessaire est trop souvent perdu de vue.

La recommandation qu'il convient de faire en ce cas est de vérifier à quoi sert ce PRA, de quel sinistre il protège et qui en bénéficie réellement dans l'entreprise.

Clarifier et documenter ces points est important pour au moins trois raisons :

  • Il faut déterminer et formaliser le ou les sinistres contre lesquels l'entreprise se protège et vérifier : est-il encore à craindre ? n'a-t-il pas changé ? son impact est-il le même qu'autrefois ? d'autres scénarios sont-ils à considérer ?

  • Il faut détailler la solution de reprise et se demander régulièrement si elle est réellement efficace, s'il n'y aurait pas mieux à faire : ailleurs ? autre technologie ? moins cher ?

  • Enfin, il faut vérifier qui en sont les bénéficiaires : sont-ils liés à des activités critiques ? n'y a-t-il pas des activités critiques oubliées ?

Autant de questions dont les réponses sont à suivre au fil des années et à remettre en cause éventuellement : c'est pour cela que la Direction générale est impliquée : il s'agit de stratégie de réaction face aux sinistres.

En conclusion : monter un dispositif de suivi

L'entreprise dispose, on le voit clairement, de différents Plans (PRA, PCA, PSI, etc.) accumulés au fil des années et conçus et décidés au gré des priorités du moment à différents endroits hiérarchiques.

Un vision d'ensemble avec un bon esprit critique s'impose, il convient en effet :

  • de collecter les plans existants et de les positionner entre eux : à quoi servent-ils ? sont-ils viables ?

  • de les situer sur le "champ des risques" : contre quel sinistre sommes-nous protégés ? à quel prix ? est-ce judicieux ?

  • d'arbitrer et de décider d'éventuelles évolutions en fonction de la sensibilité de la DG au risque ou des évolutions des réglementations et bonnes pratiques.

Ainsi seulement l'entreprise sera en mesure de savoir si elle se protège en fonction des sinistres qu'elle veut éviter ou en fonction de choix anciens, autrefois justifiés mais aujourd'hui dépassés...

Ce dispositif de suivi permet à la DG de l'entreprise d'assumer pleinement sa responsabilité. Il permet aussi de vérifier que la réalité correspond effectivement à l'exécution de la stratégie.
Emmanuel Besluau
Lundi 18 Octobre 2010

Home Home    Mail Mail    Print Print    Zoom + Zoom +    Zoom - Zoom -    Share Share


Dans la même rubrique :
< >

Mercredi 5 Octobre 2016 - 17:48 Attention : un SMCA n'est pas un PCA !


Duquesne Research Newsletter