Mesurer, rendre compte et améliorer la résilience opérationnelle

La résilience opérationnelle est devenue le facteur déterminant qui distingue les organisations qui prospèrent de celles qui se contentent de survivre aux perturbations. Alors que 78 % des organisations déclarent avoir été victimes d’une attaque par rançongiciel au cours de l’année écoulée, la capacité à maintenir les services métier critiques pendant et après les incidents constitue un avantage concurrentiel.

Les entreprises modernes sont confrontées à un triple défi : des cybermenaces sophistiquées, des exigences réglementaires strictes et la complexité des infrastructures distribuées. Le délai médian mondial de persistance de 11 jours entre la compromission initiale et la détection montre que les approches de sécurité traditionnelles ne suffisent pas à elles seules à protéger pleinement la continuité des activités.

Mettre en place une véritable résilience va souvent au-delà des simples plans de secours et procédures de Recovery. Cela exige une approche systématique pour mesurer, rendre compte et améliorer en permanence la capacité de votre organisation à absorber les perturbations et à s’en remettre, tout en maintenant la prestation de services dans des limites acceptables.

La résilience opérationnelle désigne la capacité de votre organisation à prévenir les perturbations, à s’y adapter, à y répondre et à s’en remettre, tout en continuant à fournir les services métier essentiels. Contrairement à la planification traditionnelle de la continuité des activités, qui se concentre sur des scénarios spécifiques, la résilience opérationnelle adopte une vision globale de l’ensemble de votre écosystème, y compris la technologie, les processus, les personnes et les dépendances vis-à-vis de tiers.

Les cinq piliers de la résilience opérationnelle constituent un cadre stratégique permettant de mettre en place une approche globale de la protection :

1. Taxonomie des services et seuils de tolérance : identification des services métier critiques (CBS) et définition des seuils d’impact acceptables.
2. Cartographie des dépendances : compréhension de tous les composants, y compris les prestataires tiers.
3. Tests de scénarios : exercices réguliers permettant de valider les capacités de Recovery.
4. Réponse et Recovery : plans éprouvés, accompagnés de preuves du respect des seuils de tolérance.
5. Gouvernance et amélioration continue : supervision par le conseil d’administration, auto-évaluation et mise en œuvre de mesures correctives financées.

La continuité d’activité se concentre généralement sur la reprise après des événements spécifiques, tandis que la résilience opérationnelle permet de relever le défi plus large du maintien des services face à divers types de perturbations. Cette évolution reflète les attentes réglementaires : au Royaume-Uni, par exemple, la Financial Conduct Authority a commencé à exiger des entreprises qu’elles démontrent leur capacité à rester dans les limites des tolérances d’impact d’ici 2025.

Ce tableau présente une feuille de route structurée pour la mise en œuvre de chaque pilier, avec des étapes clés et des critères de validation clairement définis.

Il est essentiel de bien comprendre la distinction entre les indicateurs de mesure et les indicateurs clés de performance (KPI) pour assurer une gestion efficace de la résilience. Les indicateurs de mesure représentent des données brutes qui évaluent des aspects spécifiques de vos opérations, tandis que les KPI sont des indicateurs de performance sélectionnés qui sont directement liés aux objectifs stratégiques de résilience et aux exigences réglementaires.

Principaux indicateurs de résilience à suivre

Les indicateurs suivants constituent la base de la mesure quantitative de la résilience et facilitent la prise de décision fondée sur les données :

• Temps de détection (TTD) : mesure la vitesse à laquelle vos systèmes identifient les anomalies ou les incidents de sécurité. Avec un temps de persistance médian de 11 jours à l’échelle mondiale, les organisations qui réduisent le TTD limitent considérablement les dommages potentiels et la complexité de la Recovery.
• Temps moyen de Recovery propre (MTCR) : il représente le temps réel nécessaire pour restaurer les services dans un état « propre » et vérifié, ce qui permet de s’assurer qu’ils sont exempts de logiciels malveillants connus ou de corruption. Cet indicateur va au-delà de la simple Recovery ; il valide la fiabilité des systèmes restaurés. Les entreprises indiquent toutefois que la Recovery propre prend souvent plus de temps.
• Taux de réussite de la Recovery : il mesure le pourcentage de tests de Recovery qui respectent vos objectifs définis en matière de tolérance à l’impact. Alors que seules 13 % des entreprises parviennent à restaurer intégralement leurs données après une attaque par ransomware, cet indicateur met en évidence l’écart entre les tentatives de Recovery et les résultats positifs.
• Analyse des écarts : elle quantifie dans quelle mesure l’état actuel de votre CBS s’écarte des niveaux de résilience souhaités. Cela inclut les lacunes en matière de couverture des contrôles, telles que les services ne disposant pas de sauvegardes immuables ou de runbooks testés.

Les membres du conseil d’administration et les autorités de régulation se concentrent principalement sur une question cruciale : l’organisation est-elle en mesure de maintenir ses services dans les limites de tolérance aux impacts définies en cas de perturbations ? Cette préoccupation centrale détermine la structure et le contenu d’un rapport efficace sur la résilience opérationnelle.

Le rapport sur la tolérance aux impacts doit démontrer clairement votre capacité à maintenir les systèmes critiques de l’entreprise (CBS). Un rapport efficace sur la résilience opérationnelle comporte trois sections essentielles qui offrent une visibilité complète sur l’état de Readiness de votre organisation :

1. Aperçu de l’état des CBS : cette section fournit une représentation visuelle claire de la position actuelle de chaque service critique par rapport à son seuil de tolérance. Utilisez des indicateurs de type « feu tricolore » (rouge/orange/vert) pour montrer si les services fonctionnent dans les limites de tolérance, s’approchent des limites ou dépassent les seuils acceptables.
2. Preuves d’assurance des tests : documentez les preuves attestant que tous les plans de reprise font l’objet d’une validation régulière par le biais de tests automatisés. Incluez des indicateurs tels que les taux de réussite de Commvault Cleanroom, la fréquence des tests et les délais de reprise atteints. Ces preuves démontrent non seulement une capacité théorique, mais aussi des performances avérées.
3. Feuille de route des mesures correctives : présentez un résumé hiérarchisé des risques identifiés et des ressources nécessaires pour combler les lacunes en matière de résilience. Concentrez-vous sur les améliorations à fort impact qui influent directement sur le respect des seuils de tolérance du CBS, en précisant des calendriers clairs et en attribuant clairement les responsabilités.

Les ResOps transforment des données fragmentées en informations unifiées qui permettent d’améliorer de manière mesurable la résilience organisationnelle. En brisant les cloisonnements traditionnels entre les équipes chargées de la sécurité, des opérations informatiques et de la continuité des activités, les ResOps offrent une vue d’ensemble complète du niveau de résilience.

Source de données unifiée

Les ResOps regroupent les indicateurs provenant de systèmes disparates en une source unique de référence. Cette intégration répond au défi soulevé par 77 % des organisations, qui affirment que le manque d’intégration des outils entrave la détection des menaces. En extrayant les données des systèmes de sauvegarde, de gestion des identités, des outils de sécurité et des plateformes d’orchestration de la reprise, ResOps offre une visibilité complète sur l’état de Readiness en matière de résilience.

Assurance automatisée

Des tests automatisés en continu, grâce à des fonctionnalités telles que Commvault Cleanroom, fournissent des données MTCR vérifiées qui résistent à l’examen des autorités réglementaires. Cette automatisation transforme les tests, qui ne sont plus de simples exercices périodiques, en une validation continue ; certaines organisations sont désormais en mesure de tester la reprise chaque mois si elles le souhaitent.

L’automatisation simplifie également les données techniques complexes pour en faire des informations exploitables par les dirigeants. Au lieu de présenter des journaux de Recovery bruts, les plateformes ResOps génèrent des rapports clairs indiquant si chaque CBS peut se rétablir dans les limites de tolérance définies, étayés par des preuves horodatées issues de tests réels.

Stratégies de reporting pour la résilience

La création de rapports de résilience efficaces nécessite d’adapter le contenu et la présentation à chaque public tout en préservant la cohérence des données sous-jacentes. Les tableaux de bord destinés aux dirigeants doivent trouver un équilibre entre exhaustivité et clarté, en fournissant des informations exploitables sans se noyer dans les détails.

Les différentes parties prenantes ont besoin de perspectives différentes sur les données de résilience. Les cadres dirigeants ont besoin d’analyses de tendances et de synthèses sur l’exposition aux risques ; les auditeurs ont besoin de preuves détaillées et de cartographies de conformité ; les unités opérationnelles souhaitent connaître les capacités de reprise spécifiques à chaque service et leurs interdépendances.

Une communication cohérente renforce la responsabilisation à tous les niveaux de l’organisation. Des cycles de reporting réguliers, des indicateurs standardisés et une attribution claire des responsabilités créent une culture où la résilience devient la responsabilité de tous, et non plus uniquement du domaine de l’informatique.

Structure d’un tableau de bord de direction

Le cadre suivant présente les composantes essentielles d’un tableau de bord de direction complet, avec des fréquences de mise à jour appropriées :

Le renforcement de la résilience nécessite des approches systématiques alliant une planification proactive, une validation régulière et une amélioration continue fondée sur les enseignements tirés de la pratique.

Les exercices sur table restent essentiels pour tester les procédures d’intervention sans perturber les opérations. Ces simulations doivent refléter les informations actuelles sur les menaces, avec des scénarios basés sur des incidents réels ayant touché des organisations similaires. Il convient d’y inclure des participants tiers, car les deux tiers des pannes rendues publiques sont dues à des défaillances de prestataires tiers.

Les analyses post-incident transforment les défaillances en opportunités d’apprentissage. Les organisations doivent aller au-delà de la recherche de responsables pour comprendre les problèmes systémiques ; 85 % des pannes majeures dues à une erreur humaine résultent du non-respect des procédures par le personnel ou de failles dans les processus.

Guide de mise en œuvre pour le renforcement de la résilience

Ce guide de mise en œuvre propose une approche structurée pour développer et maintenir des capacités de résilience, avec une répartition claire des responsabilités et des critères de réussite.

Une entreprise mondiale de logistique présente sur plus de 200 sites a compris que la résilience opérationnelle n’était pas qu’une notion théorique lorsque des ransomwares ont chiffré ses données de production et son infrastructure de sauvegarde. L’attaque a immobilisé les camions et laissé les clients dans l’attente, mais des décisions stratégiques prises plusieurs mois auparavant ont permis une reprise au moins deux semaines plus rapide qu’elle ne l’aurait été autrement.

L’ingénieur système senior de l’entreprise revient sur cette expérience : « Il faut s’attendre à une intrusion. La question n’est pas de savoir si cela arrivera, mais quand. »

Le défi : une protection fragmentée face à une attaque réelle

Les acquisitions fréquentes avaient conduit l’équipe informatique à gérer plusieurs solutions de protection des données au sein de son infrastructure cloud hybride, qui comprenait Microsoft 365, SQL, Oracle, Sybase, OneDrive, SharePoint, Active Directory, des serveurs de fichiers et des machines virtuelles. L’entreprise avait entamé une consolidation à l’échelle mondiale avec Commvault Cloud, une solution permettant de simplifier la gestion et la reprise après sinistre.

Lorsque l’attaque par ransomware a frappé, elle a chiffré toutes les données de production et mis hors service CommServe et MediaAgents. Les attaquants avaient compromis à la fois les systèmes principaux et les sauvegardes. Cependant, une décision cruciale s’est avérée vitale : l’entreprise avait stocké une copie de sauvegarde de reprise après sinistre de son CommServe dans Commvault Cloud, séparée de son infrastructure sur site, ce qui a permis de soutenir les efforts de Recovery.

La solution : Recovery des systèmes critiques en 72 heures

L’équipe informatique a immédiatement fait appel au support Commvault et à l’équipe des services d’intervention en cas d’incident, disponible 24 h/24 et 7 j/7. Le support a d’abord restauré la base de données CommServe à partir du cloud, permettant ainsi à l’équipe de reconstruire son serveur sur site et ses trois MediaAgents. L’équipe d’intervention a ensuite pris le relais, traitant une liste d’applications classées par ordre de priorité en fonction de leur impact sur l’activité.

« Une équipe d’ingénieurs Commvault a soutenu notre équipe jour et nuit pour restaurer nos systèmes », a déclaré l’ingénieur système senior. « Ils ont tenu compte de nos priorités et nous ont conseillé sur les meilleures pratiques pour accélérer la restauration. Ce fut une véritable collaboration. »

Les systèmes les plus critiques ont été remis en service dans les 72 heures suivant l’intervention de l’équipe de gestion des incidents. Le reste des systèmes de production a été restauré en moins d’une semaine, ce qui a permis de reprendre les livraisons et de minimiser les perturbations pour les clients détaillants et les clients finaux.

L’impact : la valeur de la Recovery quantifiée

Le directeur de l’infrastructure et des opérations informatiques estime que sans l’intervention de Commvault, la durée d’indisponibilité se serait prolongée d’au moins deux semaines. L’entreprise a évité de payer la rançon et a maintenu ses opérations, protégeant ainsi à la fois son chiffre d’affaires et ses relations clients.

Cet incident réel confirme les indicateurs de résilience évoqués précédemment. Le MTCR de l’entreprise pour les systèmes critiques s’est établi à 72 heures, un résultat nettement meilleur que celui observé lors d’attaques par ransomware.

Leçons tirées : renforcer la résilience pour l’avenir

À la suite de cet incident, l’entreprise a mis en œuvre plusieurs améliorations en s’appuyant sur les enseignements tirés. Elle a documenté un plan de Recovery complet, étendu ses sauvegardes au cloud et à divers supports, et vérifié la bonne exécution des sauvegardes par des tests approfondis.

Depuis, l’entreprise de logistique a adopté Commvault comme solution standard à l’échelle mondiale, en y ajoutant Commvault Grid pour bénéficier de Backup and Recovery hautes performances, d’une protection renforcée contre les ransomwares et d’une plus grande évolutivité. Elle a également souscrit aux services de gestion à distance (Remote Managed Services) afin de bénéficier d’une surveillance 24 h/24 et 7 j/7, d’interventions correctives et d’une analyse annuelle de l’état de santé et de la sécurité.

« Commvault Cloud est désormais notre solution de cyber-résilience à l’échelle mondiale », a déclaré le directeur de l’infrastructure et des opérations informatiques. « Lorsqu’une faille de sécurité s’est produite, Commvault s’en est sorti haut la main et a renforcé ma confiance en eux. C’est un véritable partenaire, pas un simple fournisseur. »

La plateforme de protection des données de Commvault aide les entreprises à relever les défis liés à la mesure, au reporting et à l’amélioration auxquels elles sont confrontées pour renforcer leur résilience opérationnelle. L’architecture unifiée de la plateforme permet de réduire la fragmentation qui entrave les efforts de résilience, tout en offrant visibilité et contrôle sur l’ensemble des environnements hybrides.

Les fonctionnalités de sauvegarde automatisée contribuent à réduire les erreurs humaines tout en garantissant la cohérence au sein d’une infrastructure hétérogène. Grâce à des fonctionnalités intégrées de validation et de test, les entreprises ont l’assurance que la restauration aboutira en cas de besoin. La capacité de la plateforme à automatiser entre 50 et plus de 100 étapes lors de restaurations complexes, telles que la restauration d’une forêt Active Directory, permet de transformer des processus manuels s’étalant sur plusieurs jours en quelques heures de restauration orchestrée.

Les fonctionnalités de portabilité vers le cloud permettent aux entreprises de maintenir leur résilience dans des environnements d’infrastructure en constante évolution. Qu’il s’agisse de protéger des applications SaaS, des charges de travail natives du cloud ou des systèmes traditionnels sur site, Commvault est conçu pour offrir des capacités de protection et de Recovery cohérentes qui s’adaptent aux besoins de l’entreprise.

Tableau de bord des performances de Commvault

Ce tableau de bord présente les principaux objectifs de performance et les méthodes de validation des capacités de résilience fondamentales de Commvault.

La mesure et le reporting de la résilience opérationnelle transforment des concepts abstraits en informations exploitables que les conseils d’administration, les autorités de régulation et les équipes opérationnelles peuvent utiliser pour prendre des décisions éclairées. Les organisations qui prospèrent face aux perturbations sont celles qui considèrent la résilience comme une discipline continue, et non comme un projet ponctuel.