Dans un épisode récent du podcast STRIVE, l’animateur Darren Thomson a présenté en détail le concept de viabilité minimale pour votre organisation. Face à la menace constante des cyberattaques, vous devez être prêt à faire face à d’éventuelles perturbations de vos activités.
Mais s’il existait un moyen d’aider votre entreprise à survivre, voire à prospérer, face à de telles menaces ? C’est là qu’intervient le concept d’« entreprise minimale viable » (MVC), parfois appelée « minimal viable company », dans le domaine de la cyber-résilience.
Qu’est-ce qu’une « entreprise minimale viable » ?
Le MVC correspond à l’ensemble minimal absolu de fonctions et de ressources nécessaires pour assurer la continuité des activités de votre entreprise et vous permettre de vous remettre d’une cyberattaque. Imaginez un scénario dans lequel l’ensemble de votre infrastructure informatique, vos applications critiques, vos technologies de communication, vos données clients et vos chaînes d’approvisionnement seraient compromises. Dans une telle situation, disposer d’un MVC bien défini peut faire la différence entre une reprise rapide et un arrêt complet de vos activités.
Pourquoi le MVC est-il important ?
- Hiérarchisation des fonctions critiques : le modèle MVC vous aide à identifier les fonctions essentielles qui doivent être opérationnelles en priorité. Il peut s’agir notamment des fonctions financières, du service client, de la chaîne d’approvisionnement et des opérations liées à la conformité.
- Reprise rapide : en vous concentrant sur le strict minimum, vous pouvez reprendre vos activités plus rapidement qu’en attendant une Recovery complète. C’est essentiel pour limiter l’impact négatif sur vos finances et votre réputation.
- Préserver la confiance : au lendemain d’une cyberattaque, la confiance est un bien précieux. Un modèle MVC bien défini vous aide à poursuivre vos activités, même à capacité réduite, ce qui contribue à préserver la confiance.
Comment définir votre MVC
- Analyse d’impact sur l’activité : commencez par réaliser une analyse d’impact sur l’activité afin d’identifier les fonctions et les actifs essentiels à la mission, ainsi que ceux qui peuvent être temporairement suspendus.
- Exercices sur table : testez les réactions de votre équipe grâce à des exercices sur table qui simulent des incidents cybernétiques et vous aident à identifier les lacunes de votre plan d’intervention. Ces exercices sont essentiels pour vérifier que chacun connaît son rôle et ses responsabilités en cas de crise.
- Guides d’intervention : élaborez des guides d’intervention détaillés décrivant les étapes de Recovery des activités et les plans de communication. Ces guides doivent être accessibles et faciles à suivre, même dans des situations de forte tension. Ils doivent comporter des instructions étape par étape pour rétablir les services essentiels et communiquer avec les parties prenantes.
- Tests exhaustifs : les tests ne sont pas une activité ponctuelle. Il est essentiel de procéder régulièrement à des tests approfondis afin de s’assurer que votre modèle MVC pourra être mis en œuvre efficacement en cas de besoin. Cela implique notamment de tester votre environnement informatique, vos plans de communication et vos solutions de contournement manuelles.
Stratégies et pratiques clés
- Fonctions essentielles de l’entreprise : concentrez-vous sur les fonctions absolument indispensables au bon fonctionnement de votre entreprise. Il peut s’agir notamment des finances, du service client et de la gestion de la chaîne d’approvisionnement.
- Un environnement informatique minimal mais fonctionnel : identifiez et rétablissez les services prioritaires dans un état sécurisé et « propre ». Des outils tels que les sauvegardes dans le cloud, les zones de reprise isolées et les salles blanches peuvent s’avérer inestimables dans ce processus.
- Personnes et processus clés : identifiez les collaborateurs clés capables d’assurer le fonctionnement minimal de l’entreprise. Veillez à ce qu’ils disposent des droits d’accès et des outils nécessaires, et mettez en place des solutions de contournement manuelles ainsi que des plans de communication en cas d’interruption prolongée.
Amélioration continue
Le MVC n’est pas un concept statique. Il nécessite une amélioration continue par le biais d’analyses d’impact sur l’activité, d’exercices de simulation et de tests. Ces activités vous aident à anticiper les menaces potentielles et permettent à votre entreprise de réagir efficacement à tout incident cybernétique.
En vous concentrant sur les fonctions essentielles, sur un environnement informatique minimal mais fonctionnel, ainsi que sur les personnes et les processus clés, vous pouvez assurer la continuité de votre activité et préserver la confiance. Définir votre niveau de viabilité minimale constitue un outil puissant pour assurer la survie de votre entreprise et faire preuve de résilience face à tout défi.
Écoutez le podcast dans son intégralité ici.
