Points clés à retenir
- Face à la multiplication des perturbations opérationnelles, il est essentiel de disposer d’une résilience évolutive ; pourtant, les organisations tombent souvent dans des pièges, comme la recherche d’une technologie « miracle » ou le « culte de la personnalité » accordé à certains experts.
- ResOps offre un cadre évolutif qui intègre les ressources humaines, les processus et la technologie dans les domaines de l’ITOps, du SecOps et du DevOps.
- Le soutien de la direction, au niveau du PDG, contribue à renforcer la responsabilisation et à faire de la résilience une priorité en tant que discipline stratégique.
Les cyberattaques, le cloud et les menaces liées à l’intelligence artificielle posent des défis opérationnels permanents aux entreprises. Pour répondre aux besoins métier dans cet environnement de plus en plus perturbé, les organisations doivent aller au-delà des outils, des équipes et des plans de reprise isolés et adopter la résilience comme modèle opérationnel intégré.
Lors d’un récent webinaire, Phil Goodwin, vice-président chargé de la recherche pour les programmes mondiaux d’infrastructure chez IDC, s’est joint à moi pour une discussion informelle visant à explorer comment les entreprises peuvent dépasser les approches fragmentées afin de développer une résilience évolutive.
Pourquoi les organisations ont-elles besoin d’un nouveau cadre de résilience ?
Alors que les organisations sont quotidiennement accaparées par la gestion des urgences, tout en s’adaptant aux nouvelles technologies et en mettant en œuvre de nouvelles initiatives, elles ont rarement le temps de prendre du recul pour réévaluer si leurs approches répondent toujours aux exigences. Mais à mesure que des incidents isolés se transforment en perturbations systémiques, cette réflexion est devenue indispensable.
À une époque plus simple, les entreprises se concentraient principalement sur la Backup and Recovery. Des perturbations à grande échelle, telles que l’ouragan Sandy, ont mis la reprise après sinistre à l’ordre du jour. L’intensification des cybermenaces, comme les ransomwares, a ajouté la cyber-résilience et la continuité d’activité à la liste. Chaque évolution a apporté de nouvelles capacités, mais de nombreuses entreprises se sont contentées d’ajouter de nouvelles approches à ce qu’elles faisaient déjà, plutôt que de répondre de manière globale à ces exigences croissantes.
Lorsque différentes équipes gèrent des éléments distincts à l’aide d’outils et de politiques variés, des lacunes peuvent apparaître et ralentir la reprise. Malgré des années d’investissement dans la cybersécurité, les organisations continuent de rencontrer des difficultés en matière de reprise. Plus récemment, l’IA a accentué l’urgence d’adopter une approche plus intégrée en redéfinissant à la fois les menaces et les moyens de défense. Malgré des investissements croissants dans l’IA, de nombreuses entreprises retardent le déploiement de cette technologie en raison de préoccupations persistantes concernant la gouvernance et les failles de sécurité.
De l’autre côté de la barrière cybernétique, les cybercriminels utilisent l’IA pour créer des « deepfakes », cibler les utilisateurs avec des attaques de phishing plus sophistiquées et plus convaincantes, et exploiter des failles de sécurité à grande échelle. Les opérations de résilience (ResOps) considèrent la résilience comme une discipline opérationnelle continue plutôt que comme un ensemble d’outils et d’équipes distincts. En regroupant les ITOps, les SecOps et les DevOps au sein d’un cadre unifié, les ResOps contribuent à transformer la résilience afin de s’adapter aux perturbations systémiques.
Éviter les erreurs courantes dans la planification de la résilience
Même les organisations qui reconnaissent la nécessité d’un changement tombent souvent dans des pièges. L’un d’entre eux est le problème de la « solution miracle », qui consiste à considérer la technologie comme la solution. Les dirigeants veulent croire que l’achat des bons outils résoudra tout, mais la technologie à elle seule ne peut pas générer de résultats commerciaux positifs sans une intégration et des processus appropriés.
Le « culte des héros » est un autre écueil courant : on compte trop sur des collaborateurs talentueux dont l’expertise réside dans leur tête plutôt que dans des processus documentés. L’héroïsme ne peut pas s’étendre à grande échelle, et le fait de dépendre de personnes spécifiques crée une vulnérabilité lorsque celles-ci quittent l’entreprise ou que les responsabilités changent de mains.
Pour éviter ces écueils, vous devez repenser votre modèle opérationnel. Au lieu de vous concentrer principalement sur la technologie et les ressources humaines, réfléchissez à l’équipe que vous devrez constituer, notamment en ce qui concerne le soutien de la direction, la gestion des opérations informatiques et de la sécurité, ainsi que les cadres supérieurs issus du secteur opérationnel. La charte de l’équipe doit avant tout s’attacher à définir les résultats opérationnels : quels sont les objectifs que la résilience doit permettre d’atteindre pour l’organisation ? Quels indicateurs clés de performance (KPI), accords de niveau de service (SLA) et processus faut-il mettre en place pour répondre à ces exigences ?
Mettre en place des opérations de résilience selon une approche descendante
En tant que priorité au niveau du conseil d’administration, la résilience nécessite un soutien venant des plus hautes instances. Les opérations de résilience (ResOps) sont particulièrement efficaces lorsque le PDG s’implique, en contribuant à définir les priorités en matière de ressources et en favorisant la responsabilisation à tous les niveaux de l’organisation. Grâce à ce soutien de la direction, les cadres supérieurs, notamment le directeur des systèmes d’information (DSI), le directeur technique (CTO), le responsable de la sécurité des systèmes d’information (RSSI) et les directeurs généraux, peuvent confier la mise en œuvre à leurs équipes.
Cette approche peut s’adapter à des organisations de toutes tailles. Même les petites et moyennes entreprises peuvent constituer des équipes pluridisciplinaires regroupant des experts métier, des équipes informatiques et des responsables de la sécurité des données et des réseaux. Au fur et à mesure de leur développement, cette structure peut évoluer en parallèle, en renforçant les effectifs dans des domaines spécifiques liés à la résilience, tout en conservant une approche intégrée tout au long de la chaîne opérationnelle de résilience. Les ResOps reflètent la manière dont les équipes chargées des opérations informatiques (IT Operations), de la sécurité (SecOps) et du développement (DevOps) doivent collaborer au sein des organisations. La reprise après sinistre et la sécurité des données sont désormais si étroitement liées qu’au sein d’IDC, les chercheurs de ces différentes disciplines collaborent désormais fréquemment sur des missions clients. Les applications doivent désormais être conçues en tenant compte des acteurs malveillants, en intégrant des architectures « zero trust » et en partant du principe qu’un incident finira par se produire. ResOps fournit le cadre nécessaire à cette convergence, en réunissant les outils de sécurité et d’exploitation au sein d’un modèle unifié permettant de faire face à toutes sortes de menaces et de perturbations.
ResOps : un cadre commun pour le secteur
ResOps est un modèle opérationnel, et non un produit, et peut apporter des avantages aux entreprises, quels que soient les outils spécifiques qu’elles utilisent. Comme l’a fait remarquer Phil lors de notre discussion : « Cela nécessite vraiment une implication de la communauté, où chacun apporte sa contribution selon des perspectives différentes, qu’il s’agisse de fournisseurs, d’organisations ou d’équipes différentes, tout comme pour le DevOps ou le SecOps. »
Pour les organisations confrontées à des perturbations constantes et à la complexité croissante des menaces et des défenses liées à l’IA, ResOps propose une solution qui va au-delà des approches fragmentées en matière de résilience. En réunissant les personnes, les processus et la technologie au sein d’un modèle opérationnel unifié, ResOps transforme les efforts de reprise fragmentés en une préparation à l’échelle de l’entreprise. Regardez l’intégralité de ma discussion informelle avec Phil pour découvrir comment ResOps peut vous aider à renforcer la résilience de votre entreprise de manière évolutive.
FAQ
Q : Qu’est-ce que les opérations de résilience (ResOps) ?
R : ResOps est un modèle opérationnel qui intègre les opérations informatiques, les opérations de sécurité et le DevOps au sein d’une approche continue. Plutôt que de considérer la reprise après sinistre, la cyber-résilience et la continuité des activités comme des capacités distinctes, ResOps rassemble les personnes, les processus et la technologie au sein d’un cadre unifié afin de contribuer à la mise en place d’une résilience d’entreprise évolutive.
Q : Pourquoi le soutien de la direction est-il important pour la cyber-résilience ?
R : Le soutien de la direction – idéalement au niveau du PDG – contribue à renforcer la responsabilisation et à donner la priorité aux initiatives de résilience à l’échelle de l’organisation. Ce soutien venant d’en haut est essentiel pour les organisations qui cherchent à passer d’approches fragmentées à des opérations de résilience intégrées.
Q : Les petites et moyennes entreprises peuvent-elles mettre en œuvre le ResOps ?
R : Oui. Le ResOps s’applique aux organisations de toutes tailles. La complexité du cadre évolue au fur et à mesure que les organisations se développent, ce qui le rend accessible aux entreprises de taille moyenne tout en restant efficace pour les grandes entreprises.
Q : Pourquoi les équipes informatiques et de sécurité doivent-elles collaborer pour assurer la résilience ?
R : Lorsque les équipes chargées des opérations informatiques, de la sécurité et du DevOps collaborent au lieu de travailler en silos, les entreprises peuvent contribuer à mettre en place une infrastructure plus résiliente, capable de faire face à l’évolution des menaces.
Q : Comment les organisations devraient-elles s’y prendre pour mettre en place des opérations de résilience ?
R : Commencez par le sommet en obtenant le soutien de la direction, au niveau du PDG. Ensuite, constituez une équipe transversale regroupant les opérations informatiques, les opérations de sécurité et les parties prenantes métier, et demandez-leur de définir les résultats commerciaux que la résilience doit apporter à votre entreprise. Réalisez une évaluation des menaces pour comprendre les risques auxquels vous êtes confrontés. Ce n’est qu’après avoir franchi ces étapes fondamentales que les entreprises doivent se concentrer sur le choix des technologies et l’élaboration de processus détaillés.
Chris Mierzwa est directeur principal du marketing de portefeuille chez Commvault.
