Résilience opérationnelle : cadres de référence et bonnes pratiques

La résilience opérationnelle est devenue une priorité au plus haut niveau des conseils d’administration, alors que les organisations sont confrontées à des cybermenaces sans précédent et à une surveillance réglementaire accrue. Les 166 incidents cybernétiques majeurs signalés à la Financial Conduct Authority du Royaume-Uni en 2024, dont 89 attribués à des cyberattaques, illustrent l’ampleur du défi auquel sont confrontées les entreprises modernes.

L’impact financier des défaillances opérationnelles ne cesse de s’aggraver : les organisations sont désormais confrontées à des pannes aux conséquences considérables. Cette réalité entraîne le passage d’une reprise réactive à des stratégies de résilience proactives qui garantissent la continuité de la prestation de services en cas de perturbations.

Les obligations réglementaires en vigueur dans différentes juridictions exigent désormais des organisations qu’elles démontrent leur capacité à assurer la continuité du service. Avec l’adoption de la loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act) et l’émergence de cadres similaires à l’échelle mondiale, la résilience opérationnelle est passée du statut de « bonne pratique » à celui d’« exigence réglementaire ».

La résilience opérationnelle désigne la capacité à fournir des services essentiels en cas de perturbation, en maintenant les opérations dans des limites de tolérance prédéfinies, même lors d’incidents graves. Contrairement aux approches traditionnelles de Recovery après sinistre, qui se concentrent sur la restauration après une défaillance, la résilience opérationnelle met l’accent sur la continuité de la prestation de services pendant et après les perturbations.

Ce changement fondamental reflète les exigences réglementaires des principales juridictions : les organisations doivent identifier leurs services essentiels, comprendre leurs interdépendances, définir des seuils de tolérance mesurables et démontrer leur capacité à fonctionner dans le respect de ces limites.

L’approche structurée de la résilience opérationnelle répond à la fois aux cybermenaces et aux exigences réglementaires grâce à des cadres intégrés. Les cadres de résilience métier fournissent la structure globale nécessaire à la préparation de l’organisation, tandis que les cadres de gestion des risques opérationnels traitent spécifiquement de l’identification, de l’évaluation et de l’atténuation des risques susceptibles de perturber les services critiques.

Ces cadres s’articulent autour de principes communs : une approche centrée sur les services, des seuils de tolérance mesurables et une validation continue par le biais de tests.

Piliers du cadre de résilience opérationnelle

Ce tableau présente les piliers fondamentaux qui constituent la base des cadres de résilience opérationnelle dans les différentes juridictions réglementaires.

La distinction entre résilience opérationnelle et continuité des activités modifie fondamentalement la manière dont les organisations abordent la protection des services. La continuité des activités se concentre traditionnellement sur la reprise des processus internes après des défaillances spécifiques, tandis que la résilience opérationnelle donne la priorité au maintien des services destinés aux clients en cas de perturbations.

Ce passage d’une approche centrée sur l’entité à une approche centrée sur le service reflète le fait qu’environ deux tiers des pannes rendues publiques impliquent des prestataires informatiques ou des fournisseurs de centres de données tiers.

Comparaison : résilience opérationnelle et continuité des activités

La comparaison ci-dessous met en évidence les différences fondamentales entre ces disciplines complémentaires mais distinctes.

Le renforcement de la résilience opérationnelle nécessite une approche systématique conforme aux orientations réglementaires en vigueur dans les différentes juridictions. Les composantes du cadre présentées ci-dessous reflètent le consensus entre les attentes réglementaires du Royaume-Uni, de l’Union européenne (DORA), des autorités fédérales américaines et de l’Australie :

1. Identification des services d’importance systémique (CBS) : les organisations doivent déterminer quels services causeraient un préjudice intolérable aux clients ou aux marchés s’ils venaient à être perturbés. Ce processus d’identification va au-delà des évaluations traditionnelles de la criticité informatique ; il nécessite de comprendre les dépendances des clients, les impacts sur les marchés et les obligations réglementaires. Les entreprises du secteur des services financiers se concentrent tout particulièrement sur le traitement des paiements, l’accès aux comptes et les capacités de négociation, qui constituent des services critiques typiques.
2. Cartographier les dépendances : une cartographie complète de bout en bout révèle toutes les ressources nécessaires à la fourniture de chaque service critique. Cela inclut les systèmes technologiques, le personnel, les installations, les flux de données et, surtout, les prestataires tiers. Cet exercice de cartographie met souvent au jour des dépendances cachées : infrastructures partagées, risques de concentration et points de défaillance uniques que les évaluations de risques traditionnelles ne détectent pas.
3. Définir les seuils de tolérance aux impacts : les organisations doivent définir les niveaux maximaux de perturbation acceptables pour chaque service critique. Ces seuils de tolérance comprennent généralement des mesures temporelles (durée pendant laquelle le service peut être dégradé) et des mesures de volume (quelle réduction de capacité est acceptable). La norme australienne CPS 230 exige spécifiquement une notification dans les 24 heures si une perturbation dépasse les niveaux de tolérance définis.
4. Tester et valider : les tests de scénarios graves mais plausibles permettent de vérifier si les organisations sont en mesure de maintenir leurs services dans les limites des seuils de tolérance. Les tests doivent inclure des scénarios de cyberattaques, compte tenu des données récentes. Des cycles de tests réguliers remplacent les exercices annuels sur ordinateur par une validation continue.
5. Apprendre et s’adapter : la mise en place de boucles de rétroaction permet de transformer les résultats des tests en améliorations concrètes. Les organisations doivent démontrer comment elles intègrent les enseignements tirés, corrigent les vulnérabilités identifiées et actualisent leurs cadres de référence en fonction des menaces émergentes et des évolutions réglementaires.

Les meilleures pratiques suivantes répondent aux lacunes les plus critiques auxquelles les organisations sont confrontées lors de la mise en œuvre de cadres de résilience opérationnelle :

Une restauration « propre » est fondamentale : l’ensemble du cadre de résilience repose sur la capacité à se remettre rapidement en service sans réintroduire d’éléments compromis. Les approches traditionnelles de sauvegarde échouent lorsque les ransomwares chiffrent ou corrompent les données de Recovery.

• Meilleure pratique : mettez en œuvre des sauvegardes isolées et immuables grâce aux fonctionnalités « Commvault Cleanroom » permettant une restauration rapide. Le stockage immuable empêche toute modification ou suppression des données de sauvegarde, tandis que les environnements « cleanroom » permettent de valider les systèmes restaurés avant leur remise en production. Cette approche résout le problème en fournissant des points de restauration dont le bon fonctionnement est garanti.

Visibilité et tests continus : les exercices annuels ne répondent plus aux exigences réglementaires ni aux besoins opérationnels. Les organisations ont besoin d’une visibilité en temps réel sur leur niveau de résilience et de capacités de tests automatisés.

• Meilleure pratique : automatisez les tests de Recovery et tirez parti de l’IA et de l’apprentissage automatique pour la détection des anomalies. Les tests automatisés permettent de valider les capacités de Recovery sans intervention manuelle, tandis que la détection basée sur l’IA aide à identifier les menaces avant qu’elles ne dégénèrent en perturbations. Les organisations disposant de .

La résilience opérationnelle se situe à la croisée de la gestion des risques opérationnels et de la continuité des services. C’est précisément ce qui explique pourquoi la résilience est devenue une préoccupation au niveau du conseil d’administration. Au-delà des répercussions financières, les défaillances opérationnelles érodent la confiance des clients et déclenchent une surveillance réglementaire.

L’alignement sur des normes telles que les recommandations du Comité de Bâle offre une approche structurée de l’atténuation des risques. Les principes de Bâle mettent l’accent sur la gouvernance, la gestion des risques opérationnels et la planification de la continuité des activités en tant qu’éléments interdépendants de la résilience. Les organisations doivent aller au-delà de simples listes de contrôle de conformité pour démontrer leur capacité réelle à maintenir les services essentiels.

Exigences réglementaires spécifiques à chaque juridiction

Le tableau ci-dessous détaille les exigences réglementaires spécifiques et les calendriers de mise en œuvre dans les principales juridictions.

Distinguer les concepts de résilience opérationnelle

La résilience opérationnelle englobe les disciplines traditionnelles de la continuité des activités et de la Recovery, mais va au-delà. Alors que la Recovery se concentre sur la restauration technique des systèmes et que la continuité des activités porte sur la reprise des processus, la résilience opérationnelle assure le maintien de la prestation de services tout au long des perturbations. Cette distinction est importante car 40 % des organisations ont subi des pannes majeures causées par des erreurs humaines au cours des trois dernières années ; la Recovery technique seule ne peut pas résoudre ces problèmes systémiques.

Le risque opérationnel correspond aux pertes potentielles résultant de processus inadéquats ou défaillants, tandis que la résilience opérationnelle fournit le cadre permettant de poursuivre l’activité malgré ces défaillances. La relation est complémentaire : la gestion des risques identifie les perturbations potentielles, tandis que la planification de la résilience définit comment maintenir les services lorsque des perturbations surviennent.

Ce tableau fournit un guide étape par étape pour l’intégration des capacités de réponse aux incidents au sein d’une stratégie de résilience opérationnelle.

Les ResOps marquent le passage d’une résilience fondée sur la planification à une pratique opérationnelle continue. Les ResOps constituent une pratique continue et coordonnée qui automatise l’intégration de la protection des données, de la cybersécurité et de la reprise après sinistre afin de respecter les seuils d’impact définis. Ce modèle opérationnel transforme la résilience, qui n’est plus une simple série d’exercices périodiques, en capacités mesurables et en temps réel.

Les sections suivantes détaillent la manière dont les ResOps mettent en œuvre chaque composante du cadre de résilience opérationnelle :

Cartographie et tolérance : les technologies ResOps cartographient automatiquement les actifs informatiques par rapport aux CBS et automatisent la mesure par rapport aux seuils d’impact définis. Cette cartographie continue remplace la documentation statique par une compréhension dynamique des dépendances entre les services. La surveillance en temps réel des seuils d’impact offre une visibilité immédiate lorsque les services s’approchent des seuils définis.

Détection et réponse : une réponse immédiate et unifiée aux menaces devient possible grâce à la détection des anomalies alimentée par l’IA et à des plans de Recovery automatisés. Le « cloud », en tant que vecteur d’attaque, exige des capacités de réponse automatisées qui fonctionnent plus rapidement que ne le permet une intervention manuelle.

Tests et apprentissage : ResOps transforme les tests, qui passent d’événements annuels à des processus continus. Les tests automatisés en « cleanroom » valident les capacités de reprise sans impact sur la production, tandis que la surveillance continue fournit une assurance mesurable du niveau de résilience. Cette approche répond à la reconnaissance de la résilience en tant que fonction autonome, qui concerne désormais 45,5 % des organisations.

L’avantage Commvault : Commvault Cloud fournit la plateforme unifiée qui permet la mise en œuvre effective des ResOps. En intégrant des capacités de sauvegarde, de reprise, de sécurité et de conformité, Commvault contribue à transformer la résilience, qui passe d’un simple exercice de planification à des opérations mesurables et continues permettant de répondre aux exigences réglementaires et aux besoins métier.

La directive DORA illustre parfaitement l’évolution réglementaire mondiale vers des exigences obligatoires en matière de résilience. L’approche globale de la directive DORA couvre la gestion des risques liés aux TIC, la notification des incidents, les tests de résilience et la gestion des risques liés aux tiers. Les délais de notification des incidents prévus par la directive DORA exigent une notification initiale dans les 4 heures suivant la classification de l’incident et au plus tard 24 heures après sa détection.

Les banques centrales du monde entier ont publié des orientations similaires, reconnaissant que la stabilité du système financier dépend de la résilience de chaque établissement. Ces réglementations partagent des thèmes communs : des approches centrées sur les services, des seuils de tolérance mesurables, des tests continus et une responsabilité au niveau du conseil d’administration. La convergence des attentes réglementaires crée une norme mondiale de facto en matière de résilience opérationnelle dans les services financiers.

Une planification proactive de la résilience apporte des avantages mesurables qui vont au-delà de la simple conformité réglementaire. La capacité à maintenir les services dans des limites définies permet d’éviter les défaillances en cascade qui amplifient les perturbations initiales.

Le renforcement de la position en matière de conformité devient de plus en plus précieux à mesure que les réglementations évoluent. Les organisations qui se dotent de véritables capacités de résilience s’adaptent plus facilement aux nouvelles exigences, évitant ainsi les mises à niveau coûteuses qu’implique une approche réactive de la conformité.

Avant et après la mise en œuvre de la résilience

Ce tableau compare les indicateurs clés de performance avant et après la mise en œuvre de cadres de résilience opérationnelle. (Veuillez noter que les résultats « Après la mise en œuvre » correspondent à des indicateurs sectoriels et ne reflètent pas les résultats spécifiques des clients de Commvault.)

L’approche de Commvault en matière de résilience opérationnelle repose sur l’automatisation des capacités fondamentales requises par les cadres de résilience. L’architecture unifiée de la plateforme contribue à réduire la complexité liée à la gestion d’outils distincts de sauvegarde, de Recovery, de sécurité et de conformité.

Une restauration rapide et propre constitue le fondement de la stratégie de résilience de Commvault. Les fonctionnalités « Commvault Cleanroom » de la plateforme permettent de remédier au fait que les restaurations traditionnelles peuvent réintroduire des éléments compromis. Des processus de validation automatisés sont conçus pour vérifier l’intégrité des données avant la restauration en production, ce qui contribue à réduire à la fois le temps de restauration et les risques.

Les solutions de Commvault permettent de répondre aux exigences réglementaires en matière de temps d’indisponibilité quasi nul et de protection complète contre les cybermenaces. Les fonctionnalités de sauvegarde immuables de la plateforme contribuent à prévenir toute altération ou suppression, tandis que la protection par « air gap » offre une isolation supplémentaire contre les attaques. Ces fonctionnalités favorisent la conformité aux exigences de tolérance aux impacts dans toutes les juridictions.

Feuille de route de mise en œuvre de Commvault pour la résilience opérationnelle

Le tableau suivant présente les étapes clés de l’intégration des solutions Commvault dans un cadre de résilience opérationnelle.

Les responsables informatiques qui s’appuient sur Commvault pour leurs stratégies de résilience peuvent tirer parti de la capacité de la plateforme à unifier des fonctionnalités auparavant disparates. Plutôt que de gérer plusieurs outils pour la sauvegarde, la reprise, la sécurité et la conformité, les entreprises disposent d’une plateforme unique qui leur permet d’obtenir des résultats mesurables en matière de résilience. Cette consolidation contribue à réduire la complexité tout en améliorant la visibilité sur les capacités de reprise réelles par rapport aux plans théoriques.

La transition vers la résilience opérationnelle va au-delà de la simple conformité réglementaire ; elle définit la manière dont les entreprises protègent leurs services les plus critiques dans un environnement où les perturbations sont inévitables. Les entreprises qui mettent en œuvre des capacités ResOps se positionnent pour répondre à la fois aux exigences réglementaires actuelles et aux besoins futurs de leur activité.