Guide de continuité des petites entreprises et de reprise après sinistre
Les cyberattaques et les catastrophes sont une triste réalité à laquelle chaque entreprise est confrontée sous une forme ou une autre. Il suffit d’une seule vulnérabilité pour être exploitée par un attaquant opportuniste pour mettre hors service un réseau ou un site Web, ou d’une catastrophe naturelle telle qu’un incendie pour paralyser une entreprise. Rester protégé ne suffit pas ; vous avez besoin d'un plan d'urgence pour vous protéger contre les virus et autres catastrophes. Vous avez besoin d’une stratégie de continuité des activités.
En un mot, une stratégie de continuité d’activité est un plan d’urgence conçu pour vous aider à sauvegarder vos opérations normales à la suite d’un sinistre tel qu’une attaque de malware ou une catastrophe naturelle.
Toute entreprise qui ne dispose pas d’une stratégie de continuité d’activité jette les dés sur son avenir. Quarante à soixante pour cent des petites entreprises qui perdent l'accès aux systèmes opérationnels et aux données sans plan de reprise après sinistre fermez leurs portes pour toujours. Les entreprises qui ne disposent pas d’un plan de reprise après sinistre ou d’un plan de sauvegarde des données courent le risque de mettre la clé sous la porte.
De nombreuses entreprises ont l’impression qu’un plan de continuité d’activité (PCA) est trop compliqué et ne prennent pas les mesures nécessaires pour se protéger. Même si la conception d’un plan de continuité des activités peut sembler complexe, en réalité, la mise en œuvre de mesures de reprise après sinistre est simple. Il suffit de prendre le temps d'en préparer un.
Qu’est-ce que la continuité des activités ?
La continuité des activités est un terme utilisé pour décrire un plan d'urgence qui permettra à une entreprise de rester opérationnelle lors d'une catastrophe. Le plan doit inclure une série de mesures de prévention et de rétablissement pour minimiser les dommages causés par une catastrophe. Un PCA est décrit dans un document unique afin que les employés sachent comment réagir en cas de perturbation.
Le PCA devrait comporter un certain nombre d’éléments essentiels :
- Utiliser l’analyse d’impact sur l’entreprise pour identifier les fonctions et ressources commerciales clés
- Documenter les fonctions clés et mettre en œuvre un plan pour récupérer ces fonctions après un événement
- Élaborer un plan de continuité des activités pour gérer le plan de continuité des activités et toute perturbation
- Détail de l'endroit où les employés doivent se rendre en cas de sinistre (un site physique alternatif)
- Identifier les coordonnées de la direction et d’autres personnes
- Documenter les informations sur les solutions de sauvegarde de données
- Former et tester pour s'assurer que les employés savent comment appliquer la stratégie de reprise
Qu’est-ce que la reprise après sinistre ?
Les termes continuité d’activité et reprise après sinistre sont souvent utilisés de manière interchangeable. Il existe cependant une grande différence entre les deux. La reprise après sinistre est uncomposantd'un plan de continuité des activités qui vise à maintenir l'entreprise opérationnelle dans son ensemble.
Un plan de reprise après sinistre consiste àrestauration des fonctions critiquesaprès un événement désastreux. Les entreprises créeront un plan de reprise après sinistre pour définir comment réagir en cas de temps d'arrêt.
Un plan de reprise après sinistre doit inclure les informations suivantes :
- Produire une déclaration et décrire les objectifs du plan
- Décrire les actions d'intervention d'urgence à mettre en œuvre après un événement
- Identifiez les actifs informatiques importants et définissez une durée de panne maximale
- Cataloguez tous les logiciels ou systèmes qui seront utilisés pendant le processus de récupération
- Créez une équipe de reprise après sinistre et enregistrez leurs coordonnées
- Accumuler la documentation des fournisseurs de technologie sur les mesures de récupération et les logiciels
Les essentiels du PCA
Dans cette section, nous allons examiner de plus près les éléments essentiels de la mise en œuvre d’un PCA. Ceux-ci inclus:
- Créer une analyse d'impact sur l'entreprise (BIA)
- Trouvez votre plus grand potentiel de risque
- Créer un plan de communication
- Vérifiez votre couverture d'assurance
- Sauvegardez vos données dans le cloud
- Testez votre forfait
- Installez les outils de cybersécurité – Logiciels de protection antivirus, anti-malware et DDOS
- Produisez des copies physiques de votre plan
Analyse d'impact sur les entreprises (BIA)
UNNOURRITUREest la première étape à suivre lors de la mise en œuvre d’un PCA. Le BIA consiste à faire l'inventaire de vos systèmes actuels, à noter les ressources clés sur lesquelles vous comptez et à créer une stratégie pour restaurer ces ressources en cas de perturbation.
L'évaluation doit mesurer l'importance des systèmes afin que vous puissiez donner la priorité à la restauration de ces systèmes critiques dès que possible. Pour effectuer une analyse approfondie, vous devez identifier les informations suivantes :
- Identifier les unités, services et ressources les plus à risque et quels sont leurs rôles
- Identifier les fonctions critiques qui contrôlent le fonctionnement de ces unités
- Spécifier un niveau acceptable de temps d'arrêt
- Le moment auquel vous devez restaurer (fichiers qui doivent être restaurés, etc.)
- Mettre en évidence l'impact que les échecs auront sur l'entreprise
- Créez des tableaux et des diagrammes pour montrer la perte potentielle en cas de panne de ces unités
- Créez votre méthodologie pour les données recueillies dans l'analyse
- Identifier ou désigner les employés chargés d'intervenir en cas d'urgence et comment les contacter
N'oubliez pas que l'objectif du BIA est d'identifier les systèmes clés que vous devez restaurer et de mettre en évidence les dommages/coûts potentiels d'une défaillance. L’évaluation doit faire prendre conscience des systèmes ou des fonctions à prioriser pour remettre rapidement l’entreprise sur pied.
Trouvez votre plus grand potentiel de risque
Répertorier les risques les plus importants auxquels votre organisation est confrontée contribuera à réduire le risque que vous soyez pris au dépourvu. Même si vous ne pouvez pas contrôler l’avenir, vous pouvez comprendre les problèmes que vous êtes le plus susceptible de rencontrer. Vous devez prendre en compte les risques physiques sur site et les risques technologiques tels que les dysfonctionnements ou les cyberattaques.
Les risques pourraient inclure :
- Inondations et dégâts des eaux
- Des pannes de courant
- Risques d'incendie
- Conditions météorologiques extrêmes
- Catastrophes naturelles comme les tremblements de terre
- Attaques DDoS
- Virus ou logiciels malveillants
- Vol/Sabotage
- Terrorisme
Tous ces risques pourraient vous obliger à arrêter votre activité pendant quelques jours ou plus. La prise en compte préalable de ces facteurs de risque permet de mettre en œuvre des mesures pour y remédier.
Par exemple, si vous êtes dans une région où les tremblements de terre sont fréquents, le stockage de vos données dans le cloud pourrait aider à maintenir vos données disponibles. De même, pour vous protéger contre les cybermenaces, vous pouvez déployer un outil antivirus ou antimalware.
Créer un plan de communication
Le succès de votre PCA repose sur les collaborateurs qui le mettent en œuvre. S’il y a un manque de clarté quant à savoir qui est responsable de quoi, votre capacité à réagir en temps de crise sera sérieusement limitée. La création d'un plan de communication et la présentation des membres du personnel impliqués dans la réponse aux attaques permettront une réponse plus efficace.
Pour une sécurité à long terme, vous souhaitez établir un plan pour communiquer des mises à jour sur le processus de récupération et d'autres informations. Il existe de nombreuses façons efficaces de communiquer, mais la meilleure dépendra de la culture et des préférences de vos employés. Tous les éléments suivants sont des moyens efficaces de communiquer :
- Par téléphone et SMS
- Utiliser un système d'alerte par e-mail pour fournir des mises à jour
- Utilisez un outil collaboratif comme Slack pour que les employés puissent communiquer dans un seul fil de discussion
- Utilisez une application comme WhatsApp et créez une discussion de groupe pour que les employés puissent communiquer à distance
Pour vous assurer que vous pouvez communiquer pendant une catastrophe, vous devez vous assurer que vous pouvez accéder à distance à votre site Web et à vos comptes de réseaux sociaux. De cette façon, vous pouvez publier une mise à jour pour les employés (ou les clients) en cas de problème avec le service.
Vérifiez votre couverture d'assurance
Même si vous êtes préparé, vous ne pourrez peut-être pas atténuer tous les dégâts. L’assurance est essentielle pour vous offrir un filet de sécurité financière sur lequel vous appuyer si vous êtes mis hors de combat. UNPolice d’assurance contre les pertes d’exploitationvous couvrira si vous êtes frappé par un événement désastreux.
Ce type d’assurance couvre les incendies, les tempêtes, le vol et autres problèmes pouvant vous obliger à fermer vos portes. Votre police peut couvrir les bénéfices que vous auriez réalisés si vous étiez resté opérationnel, les dépenses d’exploitation telles que les salaires des employés, les frais de déménagement temporaire (frais de déménagement et de loyer), et bien plus encore.
Il y a cependant certaines limites à connaître. En règle générale, l’assurance ne couvre pas les services publics, les revenus non documentés, les fermetures partielles ou les catastrophes non couvertes telles que les tremblements de terre et les fermetures dues aux lignes électriques.
Sauvegardez vos données dans le cloud
L'un des moyens les plus simples de protéger vos données contre la perte ou la corruption consiste à les déplacer vers un service cloud.Stockage de données importantes hors sitesignifie que si quelque chose arrive à votre environnement local, vos données seront toujours en sécurité. Vous pourrez également accéder à ces données à distance jusqu'à ce que votre site professionnel soit opérationnel.
Les avantages de l’utilisation de solutions de sauvegarde basées sur le cloud sont que vous n’avez pas à payer pour créer et entretenir votre propre centre de données. Vous pouvez simplement payer un fournisseur de cloud pour accéder au stockage à une fraction du coût que vous paieriez pour gérer votre propre centre de données. Il existe également la possibilité de réduire davantage les coûts en sauvegardant uniquement les données critiques.
Il existe un certain nombre de fournisseurs que vous pouvez utiliser pour protéger vos données dans le cloud :
Il est recommandé de choisir un centre de données éloigné de vos locaux principaux, dans une zone géographique différente. Si votre sauvegarde est trop proche de vos locaux, un seul événement pourrait potentiellement les mettre tous les deux hors ligne ! Une tempête ou un tremblement de terre important pourrait facilement affecter deux endroits s’il n’y a pas une distance suffisante.
Testez votre forfait
Une fois que vous avez créé un plan, il est important deteste-le minutieusement. Vous devez tester le plan pour voir comment il fonctionne pour chaque scénario potentiel. Lors de vos tests, vous devez découvrir combien de temps prend le plan pour s'exécuter, si vos mesures de réponse fonctionnent dans la pratique, dans quelle mesure les premiers contacts et les employés sont conscients de leurs responsabilités et combien de temps d'arrêt votre plan vous autorise.
En testant le plan, vous pourrez trouver des problèmes que vous auriez manqués sur papier. Par exemple, si votre sauvegarde échoue ou si vous ne parvenez pas à joindre un employé essentiel. Connaître ces problèmes à l'avance vous permettra d'apporter des modifications afin que votre PCA soit prêt à fonctionner le moment venu.
Lors des tests, vous souhaiterez accorder une attention particulière à l’objectif de temps de récupération et à l’objectif de point de récupération pour mesurer le succès du plan. Vous devez effectuer des exercices de votre plan avec les employés au moins une fois par an pour vous assurer qu'ils se familiarisent avec les procédures d'intervention ; plus tôt si vous avez un grand nombre de nouvelles recrues.
Installez les outils de cybersécurité – Logiciels de protection antivirus, anti-malware et DDOS
Les cyberattaques constituent l’un des risques les plus courants auxquels les entreprises sont confrontées. Les virus, les logiciels malveillants et les attaques DDOS peuvent tous paralyser votre entreprise et vous coûter des dizaines de milliers de dollars de dégâts.Installation d'agents logicielssur les appareils et les serveurs pour se protéger contre les virus et les logiciels malveillants est une nécessité pour réduire les points d'entrée dans votre réseau. Les solutions antivirus fournissent des alertes lorsque le programme découvre un virus.
Il existe un certain nombre de packages de sécurité disponibles qui couvrent une gamme de services de cybersécurité dans un seul plan. Ne négligez pas sécurité du cloud car même si les principaux fournisseurs de systèmes cloud ont institué un cryptage et des contrôles d'accès stricts, les utilisateurs peuvent toujours contourner ces mesures de protection, intentionnellement ou accidentellement. Examiner protection des données et des systèmes anti-ransomware spécialement conçus pour le cloud.
Par exemple,SpinOnedepuisspin.aioffre une sauvegarde, une analyse des logiciels malveillants et une prévention contre la perte de données pour Microsoft 365, Google Workspace et Salesforce.
SpinOne (ESSAI GRATUIT)
Vous pouvez accéder à la plateforme SpinOne avec unEssai gratuit de 15 jours.
SpinOne Accédez à un essai GRATUIT de 15 jours
Pour prévenir les attaques DDoS, il existe de nombreuses Solutions de protection contre les attaques DDoS vous pouvez utiliser y compris outils de gestion des journaux , analyseurs de réseau, pare-feu d'applications de sites Web et services de protection DDoS gérés. Par exemple, un outil de gestion des journaux vous enverra une notification lorsqu'il détectera un trafic malveillant. Adopter une approche étape par étape de la cybersécurité vous permettra de mettre en place des protections plus complètes sur le long terme.
Produisez des copies physiques de votre plan
Dernièrement,conservez des copies physiques de votre PCA à portée de main. Avoir un historique des mesures de réponse est absolument inestimable en cas de crise. Si votre forfait est uniquement disponible sous forme de document numérique, vous ne pourrez pas y accéder si vous perdez la fonctionnalité. Ne pas avoir le plan sous la main signifie qu’à moins que votre équipe mémorise les étapes par cœur, vous ne pourrez pas réagir efficacement en cas de sinistre !
Pour éviter toute confusion, imprimez les versions actuelles du PCA et remettez-les à tous les employés et partenaires concernés. Avoir une copie papier à disposition donnera aux employés les conseils nécessaires pour réagir efficacement à la suite d'un événement.
Continuité des activités : agissez maintenant !
Un PCA est une étape nécessaire pour reconnaître et protéger votre entreprise contre toute faiblesse. Avoir la prévoyance d’identifier les systèmes sur lesquels vous comptez vous permet d’établir des priorités lorsque le chaos survient.
Disposer d'un processus de continuité documenté et connu des employés peut réduire votre temps de réponse et éviter de nouvelles perturbations de votre service. En fin de compte, moins votre service est indisponible, moins vous perdrez d’argent.
Vous n’avez pas nécessairement besoin d’élaborer un plan de continuité complexe pour en bénéficier. Un petit plan organisé avec une réponse bien pensée vaut cent fois mieux que d’improviser après l’événement. En planifiant à l'avance, vous permettez aux employés de réagir de manière productive et rapide aux interruptions de service.
