La cyber-résilience par le management de la continuité d'activité

Le standard BSI 200-4 (version finale 1.0, datée de mai 2023 ; successeur du standard BSI 100-4) décrit la mise en place et l'exploitation d'un système de management de la continuité d'activité (BCMS). Son modèle par paliers permet une entrée en matière économe en ressources, en trois niveaux de maturité : le BCMS réactif pour une capacité de base de gestion des urgences rapidement opérationnelle, le BCMS de montée en charge (Aufbau-BCMS) pour un développement progressif et le BCMS standard comme déploiement complet. Le niveau BCMS standard est conforme aux exigences de l'ISO 22301:2019, la norme BCMS certifiable à l'international (complétée en 2024 par l'Amendment 1). La gestion des urgences IT (IT Service Continuity Management, ITSCM) articule le BCM avec l'exploitation informatique et le SMSI.

Le point de départ est l'analyse d'impact sur l'activité (BIA) : elle identifie les processus métier critiques dans le temps, leurs ressources et les éventuels points de défaillance uniques (single points of failure). La durée d'interruption maximale tolérable (MTA dans la terminologie du BSI, MTPD en anglais) définit combien de temps un processus métier peut au maximum rester à l'arrêt ; on en déduit le délai de reprise exigé (Recovery Time Objective, RTO) des ressources qui le soutiennent. La perte de données maximale admissible (Recovery Point Objective, RPO) détermine l'ancienneté maximale du dernier état de données restaurable – et donc la fréquence des sauvegardes. En pratique, la confrontation avec les valeurs réellement atteignables (RTA/RPA) est décisive : si celles-ci dépassent les valeurs cibles, il existe un écart de couverture qui doit être comblé par des mesures techniques ou par un niveau défini de fonctionnement en mode dégradé (MBCO).

La règle 3-2-1 s'est imposée comme règle de base pour la sauvegarde des données : trois copies des données sur deux types de supports différents, dont une copie sur un autre site. Dans son catalogue de mesures contre les ransomwares, le BSI souligne que les attaquants disposant de droits d'administration obtenus au préalable recherchent délibérément les sauvegardes et les chiffrent au même titre que les systèmes de production – au moins une copie devrait donc être conservée hors ligne et déconnectée du réseau après la sauvegarde ; cette séparation doit être vérifiée régulièrement. Le stockage immuable (Immutable Storage, par exemple via des mécanismes WORM ou Object Lock) complète la protection, car les états sauvegardés ne peuvent plus être modifiés ni supprimés a posteriori, même avec des droits d'administration. La sauvegarde comprend aussi la restauration entraînée : la remise en état et le redémarrage à froid (black start) – la remise en service de l'ensemble des serveurs et systèmes – devraient être testés régulièrement en conditions réelles.

Les plans d'urgence ne sont fiables qu'une fois exercés. Le standard BSI 200-4 prévoit à cet effet une planification annuelle des exercices avec des formats gradués : les revues de plans (appelées exercices tabletop à l'international) examinent les plans sur table, de manière discursive ; les exercices de cellule de crise et d'état-major entraînent le travail de la cellule de crise dans des conditions proches de la réalité ; les exercices d'alerte testent la joignabilité et les canaux de remontée ; les tests fonctionnels démontrent l'efficacité technique de mesures d'urgence individuelles. Les scénarios devraient simuler différents degrés de compromission – de systèmes isolés jusqu'à la panne totale, y compris des sauvegardes en ligne inutilisables. L'évaluation et le retour d'expérience de chaque exercice alimentent l'amélioration des plans et des playbooks.

Pour la communication d'urgence et de crise, des concepts de gestion des parties prenantes concernées sont élaborés en amont – collaborateurs, clients, prestataires, médias et autorités. Les obligations légales de notification courent en parallèle de la gestion de l'incident : selon l'art. 23 de la directive NIS2, tout incident important doit faire l'objet d'une alerte précoce dans les 24 heures et d'une notification dans les 72 heures suivant sa prise de connaissance, suivies d'un rapport final au plus tard un mois après la notification. La capacité de communication doit rester garantie même lorsque les propres systèmes de l'organisation sont chiffrés – les listes de contacts, les plans de réaction et les identifiants d'accès nécessaires devraient donc être conservés hors ligne ou sous forme imprimée.

La directive NIS2 (directive (UE) 2022/2555) exige à l'art. 21(2)(c), comme mesure minimale, « la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ». Pour le secteur financier, DORA (règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025) va plus loin : les entités financières autres que les microentreprises doivent, selon l'art. 24, disposer d'un programme solide et complet de tests de résilience opérationnelle numérique ; les systèmes de TIC qui soutiennent des fonctions critiques ou importantes doivent être testés au moins une fois par an. Les entités financières désignées par les autorités compétentes doivent en outre, selon l'art. 26, réaliser au moins tous les trois ans des tests avancés au moyen de tests de pénétration fondés sur la menace (TLPT) – sur des systèmes de production réels soutenant des fonctions critiques ou importantes.