BCM (Business Continuity Management)

Qu'est-ce que le BCM (Business Continuity Management) ?

Le BCM, ou management de la continuité d'activité (MCA en français), désigne l'ensemble structuré des processus, politiques et dispositifs techniques permettant à une organisation de maintenir ou de rétablir rapidement ses activités essentielles lorsqu'un événement perturbateur majeur survient : incendie, panne d'hébergeur, rupture de chaîne d'approvisionnement, pandémie ou — cas devenu dominant — cyberattaque de type ransomware. Le BCM ne cherche pas à empêcher l'incident, mais à garantir que l'entreprise survivra à son occurrence.

La discipline est normalisée par l'ISO 22301 (Systèmes de management de la continuité d'activité), certifiable, complétée par l'ISO 22313 (lignes directrices) et l'ISO 22317 (méthodologie du bilan d'impact sur l'activité). En France, le SGDSN et l'ANSSI reprennent ces principes dans leurs guides destinés aux opérateurs d'importance vitale (OIV) et aux entités régulées.

Les composants techniques du dispositif

Un programme BCM repose sur une chaîne d'analyses et de plans qu'il faut distinguer précisément, car les acronymes sont souvent confondus :

• BIA (Business Impact Analysis) : cartographie des processus métier, de leurs dépendances (applications, données, fournisseurs, personnes clés) et du coût d'une interruption dans le temps. C'est le socle : sans BIA, les priorités de reprise sont arbitraires.
• PCA (Plan de Continuité d'Activité) : procédures permettant de continuer à fonctionner en mode dégradé — locaux de repli, procédures papier, effectifs de crise, communication.
• PRA (Plan de Reprise d'Activité) ou Disaster Recovery Plan : volet technique de remise en service du SI (bascule de datacenter, restauration de sauvegardes, reconstruction d'un Active Directory).
• Plan de gestion de crise : gouvernance, cellule décisionnelle, arbres d'appel, communication interne, clients, régulateur et médias.

Deux indicateurs pilotent l'ensemble et doivent être définis processus par processus :

• RTO (Recovery Time Objective) : durée maximale d'indisponibilité tolérable avant reprise.
• RPO (Recovery Point Objective) : volume de données que l'organisation accepte de perdre, exprimé en temps (ex. 15 minutes de transactions).

Un RPO de 15 minutes impose une réplication synchrone ou des journaux de transactions fréquents ; un RTO de 4 heures impose un site de secours actif/passif préchauffé. Chaque exigence a un coût : le BIA sert précisément à justifier l'investissement.

BCM et cybersécurité : la convergence

Historiquement conçu pour les sinistres physiques, le BCM a été profondément remanié par les attaques par rançongiciel. Un incendie détruit un site ; un ransomware détruit simultanément la production, les sauvegardes en ligne et l'annuaire d'authentification. Les conséquences pratiques sont majeures :

• Les sauvegardes doivent respecter la règle 3-2-1-1-0 : 3 copies, 2 supports, 1 hors site, 1 immuable ou déconnectée (air gap, WORM, coffre-fort objet verrouillé), 0 erreur de restauration vérifiée.
• Le PRA doit inclure un plan de reconstruction d'Active Directory à partir d'une sauvegarde system state saine, sur un réseau isolé, avant toute remise en production.
• Il faut prévoir une infrastructure de crise autonome : messagerie hors domaine, annuaire des contacts imprimé, canal de communication indépendant du SI compromis.
• La reprise doit être coordonnée avec la réponse à incident (DFIR) : restaurer trop tôt réinjecte la porte dérobée de l'attaquant.

Exemples concrets

Une clinique privée victime d'un chiffrement de son SIH bascule sur des procédures papier pré-imprimées, déprogramme les interventions non urgentes et redirige les urgences vers un établissement partenaire : c'est le PCA. En parallèle, l'équipe informatique reconstruit le domaine et restaure les bases depuis des sauvegardes immuables : c'est le PRA. La direction communique auprès des patients et notifie la CNIL sous 72 heures : c'est la gestion de crise.

Autre cas : la défaillance d'un prestataire SaaS de paie. Le BIA aura identifié la dépendance, le contrat prévoira une clause de réversibilité et un export mensuel des données de paie stocké en interne, permettant un traitement manuel du mois en cours.

Cadre réglementaire et concepts liés

Le BCM est aujourd'hui une obligation légale pour de nombreux secteurs : NIS 2 impose explicitement la continuité d'activité et la gestion des sauvegardes parmi les mesures de l'article 21 ; DORA exige des institutions financières des tests de résilience opérationnelle et des scénarios de cyberattaque sévères mais plausibles ; le RGPD (article 32) impose de garantir la disponibilité et la résilience des traitements. Le BCM s'articule également avec l'ISO 27001 (chapitre A.5.29/A.5.30), l'analyse de risques EBIOS RM et la gestion du risque tiers.

Bonnes pratiques

• Tester réellement : un PRA jamais exécuté est une fiction. Alterner exercices sur table, tests techniques partiels et bascule complète annuelle.
• Mesurer les RTO/RPO atteints lors des tests et les comparer aux objectifs contractuels.
• Documenter hors ligne : procédures, mots de passe d'urgence et schémas réseau accessibles sans le SI.
• Impliquer les métiers : le BCM n'est pas un projet informatique, mais une décision de direction validée en comité.
• Réviser après chaque incident et à chaque changement majeur d'architecture, dans une logique d'amélioration continue (PDCA).