Points clés à retenir
- La pression réglementaire, les attentes des conseils d’administration et les conflits concrets accélèrent la transition d’une approche axée sur la prévention vers une approche axée sur les résultats en matière de résilience.
- L’architecture de la résilience s’est considérablement complexifiée, d’autant plus que les systèmes d’IA introduisent de nouveaux défis en matière de traçabilité des données et de Recovery.
- La cyber-résilience doit aller au-delà de la reprise après sinistre traditionnelle et considérer les perturbations comme un état opérationnel permanent plutôt que comme un événement exceptionnel.
- Les opérations de résilience (ResOps™) fournissent un modèle opérationnel permettant de rendre la résilience continue, transversale et démontrable en conditions réelles.
- Le plus difficile dans la transition vers les ResOps, c’est l’aspect organisationnel. La fragmentation des responsabilités et le manque d’alignement des priorités restent les causes d’échec les plus courantes.
Les perturbations font désormais partie du quotidien. Au cours de la seule année écoulée, nous avons assisté à :
- Des attaques de drones contre des centres de données aux Émirats arabes unis et à Bahreïn ont provoqué des problèmes en cascade au sein des organisations qui y stockaient leurs données et leurs charges de travail.
- Une erreur de configuration DNS commise par un hyperscaler a privé d’accès à Internet des millions d’utilisateurs américains.
- Un incendie dans un centre de données a provoqué des pannes intermittentes pour des dizaines de milliers d’utilisateurs d’une grande plateforme de réseaux sociaux pendant une journée entière.
Lorsque l’environnement opérationnel est intrinsèquement incertain, les RSSI et les DSI doivent repenser leur approche de la continuité des activités.
Lors d’un récent webinaire, David Nowak, responsable du service Cyber Risk chez Deloitte ; Kent Meyer, directeur général chez Deloitte ; et Shilpi Handa, directrice de recherche associée chez IDC pour la cybersécurité dans la région META, se sont joints à moi pour discuter de ce qu’exige réellement la résilience opérationnelle en termes de stratégie, d’architecture et d’opérations quotidiennes.
Aperçu : la question n’est plus de savoir « si », mais « quand »
Dans cet extrait du webinaire, vous découvrirez pourquoi les pannes ne sont plus seulement des incidents informatiques, mais des événements ayant un impact sur l’activité. Les conseils d’administration et les autorités de régulation ne se concentrent plus sur la question de savoir « si » une panne va se produire, mais sur la rapidité avec laquelle les organisations peuvent se remettre sur pied.
Pourquoi la Recovery ne suffit pas
Selon la définition du NIST, la cyber-résilience va au-delà de la sécurité traditionnelle en partant du principe que des violations se produiront et en mettant l’accent sur la survie et la reprise rapide, et non plus uniquement sur la prévention. Cette approche fondée sur l’hypothèse d’une violation fait partie intégrante du modèle « zero trust » depuis des années, mais combien d’organisations en mettent réellement les implications en pratique ?
Les opérations de sauvegarde visent à vérifier si les données ont bien été copiées, et la reprise après sinistre à s’assurer que les systèmes peuvent être restaurés, mais la véritable résilience exige de répondre à une question bien plus difficile : ces services peuvent-ils être restaurés de bout en bout, en situation de stress et de manière continue ?
Nous constatons que cet état d’esprit s’impose dans tous les secteurs, sous l’effet conjugué de la pression réglementaire et des attentes des conseils d’administration.
- En Europe, la loi européenne sur la résilience opérationnelle numérique (DORA) impose désormais des objectifs de résilience et des délais de Recovery spécifiques.
- Les réglementations de la North American Electric Reliability Corporation (NERC) relatives à la protection des infrastructures critiques sont également réexaminées sous l’angle de la résilience.
- Les exigences de la Securities and Exchange Commission (SEC) en matière de signalement des violations ont mis l’accent non seulement sur la divulgation, mais aussi sur les mesures prises par les organisations pour se remettre d’un incident.
Les conseils d’administration considèrent désormais toute interruption de service comme un événement préjudiciable à l’activité, et l’on attend désormais non seulement la démonstration que la reprise est possible, mais aussi qu’elle peut s’effectuer rapidement, avec un haut niveau de confiance.
Une étude IDC menée par Handa illustre en quoi les opérations de Recovery traditionnelles peuvent s’avérer insuffisantes. Suite au déclenchement de la guerre au Moyen-Orient, elle a constaté que les DSI et les RSSI peinaient à assurer la continuité non seulement des technologies, mais aussi des ressources humaines et des processus, alors que le personnel était contraint de se relocaliser du jour au lendemain et que les bureaux devenaient inaccessibles, ne laissant personne pour effectuer la bascule manuelle.
Et ce n’est là qu’un des innombrables scénarios imprévisibles dont les organisations doivent tenir compte.
Construire une architecture de résilience
Une stratégie de résilience englobe à la fois ce que vous protégez et votre capacité à le restaurer. Concernant le premier point, l’étendue de ce qui doit être protégé n’a cessé de s’élargir, incluant désormais les systèmes d’identité, les plateformes de communication, les charges de travail, les outils de productivité, les pipelines CI/CD, ainsi que les données structurées et non structurées.
Le deuxième point – « la capacité à les restaurer » – impose de nouvelles exigences à cette stratégie. Il ne suffit plus de réaliser des instantanés à un moment donné et de définir des objectifs de restauration traditionnels. Les attaquants ciblant désormais les infrastructures de sauvegarde, les entreprises doivent désormais examiner les données restaurées et s’assurer qu’elles n’ont pas été compromises avant de les remettre en ligne. Les environnements de restauration isolés, la protection par « air gap » des services critiques et les capacités de Cleanroom Recovery sont devenus des éléments essentiels de l’architecture de résilience.
L’IA introduit un nouveau niveau de difficulté. Pour restaurer un modèle d’IA, il ne suffit pas de disposer d’une sauvegarde du fichier du modèle lui-même, mais il faut également tout ce qui a servi à sa création. Cela inclut ses ensembles de données, ses hyperparamètres, les versions des frameworks, l’ingénierie des caractéristiques et les configurations d’infrastructure, ainsi qu’une carte complète des dépendances montrant comment tous ces éléments s’articulent entre eux.
Meyer présente les solutions de cyber-résilience comme un moyen de démocratiser la reprise après sinistre. Alors que la reprise après sinistre traditionnelle était confinée au sein du service informatique et accessible uniquement aux spécialistes, les nouvelles plateformes peuvent offrir aux équipes chargées de la sécurité, aux responsables métier et au personnel opérationnel la visibilité dont ils ont besoin pour s’impliquer.
Cela revêt une importance particulière pour les organisations aux ressources limitées, et cela change la donne en termes de passage des exercices sur table à des restaurations réelles et démontrables.
ResOps : le modèle opérationnel pour une résilience durable
ResOps considère la résilience comme une fonction continue, et non comme un simple processus déclenché en réponse à un incident.
En termes simples, il s’agit de rendre la résilience opérationnelle lorsque les hypothèses de fonctionnement normales ne s’appliquent plus. Au lieu de partir du principe que vos sauvegardes seront disponibles, intactes et restaurables en cas de sinistre, ResOps vous permet de localiser en permanence vos données, de les protéger et de les capturer aussi bien sur site que dans le cloud, de détecter les anomalies, de rétablir un état fiable et de restaurer des charges de travail ayant fait l’objet d’une validation complète. Ainsi, vous êtes de mieux en mieux préparé à faire face à une perturbation et plus confiant dans votre capacité à la surmonter avec succès.
Nowak propose une expression qui résume l’essence même de ResOps : « résilient dès la conception ». C’est le successeur du principe de « sécurité dès la conception » qui a façonné la dernière génération d’architectures de sécurité. Au-delà de la création de systèmes résistants aux compromissions, nous construisons désormais des systèmes capables de continuer à fonctionner même en cas de compromission.
La dimension humaine du ResOps
L’adoption du ResOps relève au moins autant des personnes et des processus que de la technologie. Comme le souligne Handa, les organisations échouent généralement non pas parce qu’elles manquent d’outils adaptés, mais parce que la responsabilité est fragmentée entre trop de rôles, sans rythme opérationnel commun ni droits de décision clairs lorsque les choses tournent mal.
Le ResOps oblige les organisations à répondre à des questions que beaucoup n’ont pas encore abordées, telles que :
- Qui dispose de l’autorité nécessaire pour rétablir les services si l’équipe principale n’est pas disponible ?
- Comment les guides d’intervention à distance doivent-ils être structurés ?
- Comment fonctionnera la bascule interrégionale lorsqu’elle ne pourra pas s’appuyer sur un seul site ?
En ce sens, le ResOps ne vise pas tant à restaurer les systèmes qu’à garantir la continuité de la prise de décision, de l’exécution et de la responsabilité en cas de perturbation.
À cette fin, de nombreuses organisations ont créé le poste de « Chief Resilience Officer » (directeur de la résilience), en particulier au sein des administrations régionales et locales. Qu’il soit occupé par le RSSI, le DSI ou une nouvelle personne, l’émergence de ce rôle reflète une responsabilité élargie qui dépasse le cadre de l’informatique. Il nécessite un responsable doté de l’autorité transversale et des compétences de communication nécessaires pour amener les dirigeants d’entreprise, les équipes de sécurité et le personnel opérationnel à adopter un rythme de fonctionnement commun.
Ce rôle consiste également à traduire les arguments en faveur de la résilience en termes compréhensibles par toutes les parties prenantes, notamment l’impact financier pour le conseil d’administration, la continuité opérationnelle pour les praticiens et la conformité réglementaire pour les équipes GRC. L’objectif est de mettre en place un cadre de prise de décision qui ait été testé lors de simulations avant d’être sollicité en cas d’incident.
Mise en pratique
Commvault aide les organisations à mettre en œuvre le ResOps, depuis l’inventaire et la protection des données dans les environnements sur site et dans le cloud, jusqu’à la détection des anomalies, la restauration à un état sain et la réintégration des charges de travail validées. Pour les organisations qui s’efforcent de passer d’exercices théoriques à des restaurations concrètes, ce sont ces capacités qui contribuent à assurer la résilience opérationnelle en période d’incertitude.
Les ressources issues de la session, notamment l’étude IDC sur l’état de Readiness des DSI et les documents Deloitte sur la Recovery fondée sur des preuves, sont disponibles sur la page « à la demande ».
FAQ
Q : Qu’est-ce que la cyber-résilience et en quoi diffère-t-elle de la reprise après sinistre ?
R : La reprise après sinistre se concentre sur la restauration des systèmes et des données après un incident. La cyber-résilience est une approche plus large et plus proactive : elle part du principe que des perturbations se produiront et cherche à déterminer si les services peuvent être restaurés de bout en bout, en situation de contrainte, et ce de manière régulière. De nombreuses organisations disposent de plans de reprise après sinistre solides qui les laissent néanmoins vulnérables lorsqu’un incident réel se produit dans des conditions imprévues.
Q : Qu’est-ce qui pousse les organisations à privilégier la résilience plutôt que la prévention ?
R : Les cadres réglementaires tels que la loi DORA et les normes NERC, en constante évolution, imposent désormais des résultats spécifiques en matière de résilience, et non plus seulement des contrôles de sécurité. En conséquence, les conseils d’administration se concentrent sur les délais de Recovery comme indicateur de performance.
Q : Pourquoi les systèmes d’IA sont-ils plus difficiles à sauvegarder et à restaurer que les données traditionnelles ?
R : Sauvegarder un modèle d’IA implique de capturer bien plus que le fichier du modèle lui-même. Un modèle est le résultat d’un processus d’entraînement spécifique impliquant des ensembles de données, des hyperparamètres, des versions de framework et des configurations d’infrastructure. Sans ce contexte complet, Recovery peut aboutir à un résultat non fiable ou impossible à reproduire.
Q : Qu’est-ce que le ResOps, et en quoi diffère-t-il d’un programme de résilience traditionnel ?
R : Le ResOps est un modèle opérationnel qui considère la résilience comme une discipline continue et transversale plutôt que comme un plan d’urgence. Alors que les programmes traditionnels ont tendance à être cloisonnés au sein du service informatique et activés après un incident, le ResOps rassemble les équipes de sécurité, d’exploitation, les responsables métier et la direction autour de guides d’intervention communs, de droits de décision clairs et d’une validation continue de l’état, de la « Readiness » à la « Recovery ».
Q : Quels sont les principaux obstacles à l’adoption du ResOps à grande échelle ?
R : Les défis sont d’ordre organisationnel : ils incluent une responsabilité fragmentée, des priorités mal alignées et l’absence d’un rythme opérationnel commun. Le ResOps nécessite un accord – avant qu’un incident ne se produise – entre les équipes des opérations de sécurité, les responsables métier et le personnel opérationnel sur ce qui est critique, qui est responsable et comment la reprise sera validée.
Michael Thelander est directeur principal du marketing produit chez Commvault.
