Depuis des décennies, les leaders du secteur technologique s’efforcent d’éliminer les cloisonnements. Des programmes de modernisation à part entière ont été mis en place dans le but de relier les applications, de regrouper les plateformes et d’offrir aux entreprises une vision plus complète de leurs données. Ces efforts ont apporté une valeur inestimable, mais ils ont également façonné notre façon d’envisager la résilience. Lorsqu’un problème survient, nous cherchons instinctivement à l’attribuer à une fragmentation technique. Or, nous avons constaté que le véritable défi réside ailleurs.
Les cloisonnements les plus importants qui nuisent aujourd’hui à la cyber-résilience ne se trouvent pas dans les bases de données ou les applications, mais dans les structures organisationnelles. Ils existent entre les équipes chargées de la sécurité et celles chargées de l’infrastructure, entre le service informatique et les métiers, ainsi qu’entre les personnes chargées de réagir à une attaque et celles chargées d’assurer la continuité des activités de l’organisation.
La dernière étude d’IDC consacrée au ResOps, intitulée « Resilience Operations : The Discipline that Makes Readiness Provable » (Opérations de résilience : la discipline qui permet de démontrer l’état de préparation), suggère que ces frontières organisationnelles sont devenues l’un des principaux obstacles à une reprise efficace. Cette observation tombe à point nommé, car les cyberattaques ont évolué d’une manière qui rend ces frontières de plus en plus difficiles à maintenir.
Les attaques modernes ne respectent pas l’organigramme de votre entreprise
Une cyberattaque moderne touche rarement un seul domaine technologique. Un incident de type « ransomware » peut commencer par la compromission d’identités, se propager à travers l’infrastructure cloud, chiffrer des charges de travail critiques, perturber les applications destinées aux clients, affecter des services tiers et déclencher des obligations de déclaration réglementaires – le tout en l’espace de quelques heures. Chaque étape mobilise des équipes, des outils et des priorités différents. Pourtant, de nombreuses organisations continuent de se préparer à la reprise comme si ces responsabilités pouvaient être gérées séparément.
Les équipes de sécurité se concentrent naturellement sur le confinement des menaces et la préservation des preuves. Les équipes chargées de l’infrastructure donnent la priorité à la restauration des systèmes et à la réduction des temps d’arrêt. Les dirigeants se concentrent sur les clients, le chiffre d’affaires et la continuité opérationnelle. Les équipes de communication se préoccupent de la réputation, tandis que les équipes juridiques et de conformité se concentrent sur les obligations réglementaires. Chacun de ces points de vue est tout à fait raisonnable. Le problème survient lorsque ces priorités n’ont jamais été conciliées avant qu’un incident ne se produise.
En pleine crise, la reprise nécessite de prendre des décisions sous pression. Quelles applications doivent être rétablies en priorité ? Quelles données peuvent être restaurées en toute sécurité ? Quel niveau de Risk est acceptable avant la reprise des services aux clients ? Qui a le pouvoir de prendre ces décisions ? En l’absence d’alignement, les organisations constatent souvent que les retards les plus importants ne sont pas dus à la technologie, mais à l’incertitude – celle-là même qui pourrait être atténuée par une meilleure préparation.
La résilience commence par une définition commune de ce qui compte vraiment
Ce rapport met l’accent sur la mise en place d’un modèle d’entreprise minimal viable (MVB). À première vue, cela ressemble à un énième exercice de planification de la reprise, mais sa véritable valeur réside dans les discussions qu’il oblige les organisations à mener.
Pour définir un MVB, les dirigeants d’entreprise, les équipes de sécurité, les spécialistes des infrastructures et les responsables d’applications doivent s’accorder sur une question d’une simplicité trompeuse : qu’est-ce qui doit absolument continuer à fonctionner si tout le reste s’arrête ?
Cette réflexion modifie la nature même de la planification de la résilience. Les priorités en matière de reprise ne sont plus déterminées par le responsable d’application qui s’exprime de la manière la plus convaincante lors d’un incident. Elles sont désormais définies à l’avance, fondées sur les résultats opérationnels et étayées par des dépendances techniques compréhensibles par tous.
Mais surtout, le MVB crée un langage commun. Les dirigeants d’entreprise commencent à parler de capacités critiques plutôt que de systèmes individuels. Les équipes techniques commencent à mettre en correspondance l’infrastructure avec les résultats attendus par les clients plutôt qu’avec des architectures techniques. Les équipes de sécurité identifient plus clairement les actifs qui méritent les niveaux de protection les plus élevés pendant la Recovery. C’est précisément cette vision commune qui fait défaut à de nombreuses organisations.
La technologie peut automatiser la reprise, mais elle ne peut pas créer d’alignement
Le rapport ne soutient pas que les organisations aient besoin d’une énième plateforme. Il affirme qu’elles ont besoin d’une méthode de travail qui aligne les personnes, les processus et la technologie autour d’un objectif opérationnel unique. C’est là que ResOps – une discipline transversale – fait ses preuves.
La technologie peut aider à automatiser la Recovery, mais elle ne peut pas résoudre les désaccords concernant les priorités métier. Elle ne peut pas décider quels services clients sont les plus importants. Et elle ne peut pas se substituer à la gouvernance nécessaire pour coordonner plusieurs équipes lors d’un incident sous forte pression. Ce sont là des défis de direction, et la meilleure façon d’y faire face est de consacrer du temps à répondre ensemble aux questions difficiles, bien avant qu’une attaque ne vous oblige à agir.
Les organisations les plus performantes ne suppriment pas les cloisonnements : elles les relient entre eux.
Les cyberattaques continueront d’évoluer. L’IA continuera à réduire les délais d’exécution des attaques. Les nouvelles technologies introduiront de nouvelles dépendances, et de nouvelles menaces émergeront parallèlement. Rien de tout cela ne change l’exigence fondamentale en matière de résilience. Les organisations ne se relèvent pas parce que certaines équipes, prises isolément, réalisent des performances exceptionnelles, mais parce que ces équipes savent déjà travailler ensemble.
C’est peut-être là, en fin de compte, la conclusion la plus importante qui ressort de l’étude menée par IDC. La résilience n’est pas simplement le fruit d’une technologie plus performante ou de contrôles de sécurité plus sophistiqués. Elle résulte de priorités communes, d’une gouvernance claire et d’un modèle opérationnel éprouvé qui rassemble les bonnes personnes avant même qu’un incident ne se produise. Vidya Shankaran est directrice technique sur le terrain chez Commvault.
