Points clés à retenir
- ResOps n’est pas un produit technologique. Il s’agit d’une discipline opérationnelle transversale qui contribue à renforcer la cyber-résilience de l’organisation.
- Elle complète la sauvegarde, la reprise après sinistre, la cybersécurité, la continuité d’activité et la réponse aux incidents en alignant ces fonctions sur des objectifs de Recovery de bout en bout.
- ResOps se concentre sur les services critiques et les seuils d’impact définis par l’entreprise, plutôt que sur des composants d’infrastructure isolés.
- Il s’appuie sur la production continue de preuves, notamment les résultats de tests de Recovery validés, les indicateurs de résilience des services et un registre interne des lacunes.
- ResOps est un processus continu. Ni l’élaboration d’un plan, ni la réalisation d’un exercice ponctuel réussi ne suffisent à établir une capacité de Recovery durable.
Le nouveau défi de la résilience
La plupart des organisations investissent dans la cybersécurité, la sauvegarde, la Recovery après sinistre et la continuité des activités. Pourtant, de nombreux dirigeants sont toujours confrontés à trois questions cruciales : Pouvons-nous nous rétablir ? Combien de temps la Recovery prendra-t-elle ? Et pouvons-nous le prouver ?
Une partie du défi réside dans le fait que la responsabilité de la résilience est répartie entre des équipes qui opèrent souvent en silos. La sécurité gère les menaces. L’informatique assure la maintenance des systèmes. Les équipes de Backup and Recovery restaurent les données et l’infrastructure. Les équipes chargées de la continuité des activités s’attachent à maintenir le fonctionnement de l’organisation. Chacune joue un rôle important, mais la responsabilité de la reprise peut rester fragmentée.
ResOps rassemble ces fonctions autour de priorités, d’objectifs de Recovery et de preuves communs. Il en résulte une approche plus concrète de la résilience : savoir ce qui importe le plus, comprendre ce qu’il faut pour rétablir le fonctionnement, tester si la Recovery fonctionne et agir sur les lacunes identifiées.
Qu’est-ce que ResOps ?
ResOps est la discipline opérationnelle qui rassemble la sécurité, l’infrastructure, les opérations informatiques, la continuité des activités et les responsables métier autour des services critiques, d’une conception résiliente et d’une validation continue. En termes simples, ResOps aide les équipes à se préparer aux perturbations, à rétablir les services critiques dans les limites des tolérances d’impact définies par l’entreprise, et à démontrer de manière factuelle que la reprise fonctionne.
Quatre caractéristiques définissent le ResOps. Il s’agit d’une approche :
- Une approche transversale par nature. Le ResOps relie des responsabilités dispersées grâce à un modèle opérationnel partagé, une attribution claire des responsabilités et une gouvernance au niveau de la direction.
- Axée sur les services critiques. Elle donne la priorité aux services que l’organisation doit rétablir pour offrir sa valeur fondamentale, servir ses clients et générer des revenus ; elle contribue également à respecter les obligations urgentes en matière de législation, de réglementation, de sécurité et de mission.
- Validé en continu. La résilience est une posture que les équipes doivent exercer et améliorer – et non un état établi par un test annuel.
- Mesuré par des preuves. Le ResOps génère un score de posture de résilience (RPS) : un score par service, étayé par des preuves, qui mesure le degré de récupérabilité d’un service critique donné en fonction des résultats de validation, de l’état des dépendances et du niveau de confiance dans une Recovery sans incident.
Qu’est-ce que ResOps n’est pas ?
Ce n’est pas une catégorie de produits.
Aucune plateforme ne peut à elle seule créer le ResOps. Les technologies de protection des données, de Recovery informatique, d’automatisation, d’observabilité et de tests peuvent soutenir cette discipline, mais le ResOps relève de l’organisation. Il dépend de la gouvernance, de la responsabilité partagée, des priorités métier, des pratiques opérationnelles et d’une norme commune en matière de preuves.
Ce n’est pas un substitut à Backup and Recovery, ni à la reprise après sinistre.
Le ResOps ne remplace pas des capacités solides de Backup and Recovery : il en dépend. Le Backup and Recovery permet de vérifier l’existence de copies récupérables. La reprise après sinistre fournit les procédures et les capacités techniques nécessaires à la restauration des systèmes et de l’infrastructure.
Mais le ResOps soulève alors une question plus large : le service critique peut-il être rétabli complètement, correctement et dans les limites de tolérance, y compris ses identités, ses applications, ses données, son infrastructure, ses services cloud, ses tiers, ses collaborateurs et ses processus décisionnels ?
Il ne s’agit pas d’un autre nom pour désigner la continuité des activités ou la gestion des incidents.
La continuité des activités définit la manière dont l’entreprise fonctionne en cas de perturbation. La gestion des incidents détecte, contient et gère l’événement. Le ResOps relie ces disciplines au résultat de Recovery. Il crée un rythme opérationnel permettant aux équipes de s’accorder sur ce qui importe, de valider Recovery dans des conditions réalistes, de mesurer les résultats et de combler les lacunes révélées par les tests.
Il ne s’agit ni d’un simple exercice de conformité ni d’un projet ponctuel.
Un programme ResOps abouti peut aider à fournir des preuves aux conseils d’administration, aux autorités de régulation, aux assureurs, aux clients et aux auditeurs. Mais la documentation est un sous-produit, pas l’objectif. L’objectif est de démontrer la capacité de reprise.
Et comme les systèmes, les dépendances, les menaces et les priorités métier ne cessent d’évoluer, le ResOps n’est jamais « terminé ». Il fonctionne en continu, à l’instar de la planification financière ou des opérations de sécurité.
Qu’est-ce qui change avec le ResOps ?
Le ResOps déplace l’attention de la simple question de savoir si les systèmes et processus individuels fonctionnent vers celle de savoir si le service critique dans son ensemble peut être restauré. Cela modifie les questions que les dirigeants peuvent se poser.
Une sauvegarde réussie est importante. Disposer d’un plan de reprise l’est tout autant. Mais ni l’un ni l’autre ne vous indique si un service critique peut réellement être restauré lorsque vous en avez besoin. Le ResOps adopte une vision d’ensemble :
- Avons-nous effectué la reprise à partir d’un point de Recovery valide et vérifié ?
- Combien de temps cela a-t-il pris ?
- La restauration s’est-elle déroulée dans les délais fixés par l’entreprise ?
- Et quels sont les points qui nécessitent encore une attention particulière ?
C’est pourquoi le ResOps est essentiel. Il offre aux organisations un moyen d’aller au-delà des hypothèses de résilience pour parvenir à des démonstrations programmatiques et fiables de leur capacité à se rétablir. Et elles y parviennent grâce à la production continue de preuves et à la traçabilité. Ainsi, lorsqu’une perturbation survient, la question n’est pas de savoir si chaque équipe a fait sa part ou qui a échoué dans quelle tâche. Il s’agit de savoir si l’entreprise est capable de rétablir les services critiques dont dépendent ses clients.
En savoir plus
Commvault a publié « ResOps : un guide à l’intention des dirigeants » afin de fournir aux RSSI, DSI et responsables de l’informatique, de la sécurité, de la résilience et de la gestion des risques un cadre pratique pour la mise en œuvre de ResOps au sein de leurs organisations.
Les dirigeants apprendront à identifier les services les plus importants, à valider l’état de Readiness à la reprise à l’aide de preuves concrètes et à tester en permanence la résilience. Ainsi, les organisations peuvent mettre en place un modèle opérationnel unique qui rassemble les responsables de la sécurité, de l’infrastructure, des opérations informatiques et des activités autour d’une capacité de reprise fondée sur des preuves.
FAQ
Q : Le ResOps est-il simplement un nouveau nom pour la reprise après sinistre ?
R : Non. La Recovery est un élément essentiel du ResOps, mais le ResOps examine l’ensemble du service critique – y compris les dépendances techniques, vis-à-vis des tiers, humaines et décisionnelles – et détermine s’il peut être rétabli dans les limites d’une tolérance d’impact définie par l’entreprise.
Q : Le ResOps nécessite-t-il l’achat d’une nouvelle plateforme ?
R : Non. La technologie peut faciliter la cartographie, les tests, Recovery et la collecte de preuves, mais le ResOps repose avant tout sur la responsabilité, la gouvernance, les priorités métier et les pratiques opérationnelles.
Q : À qui incombe la responsabilité du ResOps ?
R : Le ResOps nécessite un responsable désigné, doté d’une autorité transversale et bénéficiant du soutien de la direction. Les responsables des différents services restent redevables de leurs services, tandis que les équipes chargées de la sécurité, de l’informatique, de la continuité d’activité et des métiers contribuent à l’objectif commun de Recovery.
Q : Comment mesure-t-on le succès du ResOps ?
R : Le succès repose sur des preuves concrètes démontrant que les services critiques peuvent se rétablir sans heurts dans les limites de tolérance d’impact définies – et non pas simplement sur la mise en œuvre d’un plan ou la réussite d’une sauvegarde.
Un score de résilience (RPS) constitue également un outil de mesure utile. En tant que score par service, étayé par des preuves, le RPS permet de démontrer le degré de récupérabilité d’un service critique donné, sur la base des résultats de validation, de l’état des dépendances et du niveau de confiance dans une reprise sans incident.
Q : Comment les organisations peuvent-elles se lancer dans le ResOps ?
R : Commencez par identifier les services critiques dont dépend l’entreprise, qui en est responsable, de quoi ils dépendent et dans quel délai ils doivent être restaurés. À partir de là, les équipes peuvent valider la Recovery, identifier les lacunes et hiérarchiser les actions nécessaires pour renforcer la résilience.
Michael Thelander est directeur principal du marketing produit chez Commvault.
