Résilience cyber

PCA vs PRA — complémentarité des plans

Le PCA (Plan de Continuité d'Activité) et le PRA (Plan de Reprise d'Activité) sont deux outils complémentaires de la résilience organisationnelle. Le PCA vise à maintenir une activité a minima pendant un sinistre — identifier les processus critiques, définir les procédures dégradées (fonctionner avec des outils alternatifs, des processus manuels, ou des capacités réduites), et assurer la continuité des fonctions essentielles même partiellement. Exemple : un hôpital sans accès à son SIH (système d'information hospitalier) pendant un ransomware peut continuer à fonctionner avec des formulaires papier et des protocoles dégradés définis dans le PCA. Le PRA définit les objectifs de reprise (RTO — délai de reprise cible, RPO — perte de données acceptable) et les procédures techniques de restauration complète des systèmes après un sinistre. Un PCA sans PRA ne suffit pas (comment revenir à la normale ?) ; un PRA sans PCA ne suffit pas non plus (que fait-on pendant la restauration ?). La norme ISO 22301 (Business Continuity Management System) fournit le cadre de référence pour les deux.

Tests de résilience — exercices pratiques

La résilience cyber ne peut pas se vérifier uniquement sur le papier — elle doit être testée. Les niveaux de tests de résilience progressent du moins au plus disruptif. Tabletop Exercise : simulation verbale d'un scénario de crise (ransomware, panne datacenter) avec les décideurs — évalue les processus décisionnels et la communication sans impacter les systèmes. Simulation fonctionnelle : tester les procédures dégradées en conditions réelles pendant une période limitée — par exemple, déconnecter un datacenter secondaire pour vérifier que le basculement vers le primaire fonctionne. Disaster Recovery Test complet : restaurer l'environnement complet depuis les sauvegardes dans un environnement isolé et mesurer le RTO effectif. Red Team Exercise : simulation d'une attaque APT réaliste pour tester la détection et la réponse de bout en bout. DORA exige des tests TLPT (Threat-Led Penetration Testing) pour les entités financières systémiques.

Métriques de résilience — comment mesurer

Mesurer la résilience cyber permet de démontrer la valeur des investissements et d'identifier les lacunes. Métriques quantitatives : MTPD (Maximum Tolerable Period of Disruption — durée maximale acceptable d'interruption pour chaque processus critique), RTO effectif lors des tests de DR, RPO effectif (perte de données réelle lors de la restauration), MTTD/MTTR lors des exercices Red Team, et taux de tests de sauvegardes réussis. Métriques qualitatives : couverture des processus critiques par le PCA (pourcentage de processus critiques avec des procédures dégradées documentées), nombre et résultats des exercices de simulation, et nombre de leçons tirées implémentées après les exercices. Les tableaux de bord de résilience cyber (reportés au COMEX et au CA) montrent l'évolution dans le temps et comparent les objectifs RTO/RPO aux capacités réelles mesurées lors des tests — l'écart entre les deux est le risque résiduel accepté ou à réduire.