Continuité d'activité et crise cyber : le guide

La continuité d'activité désigne l'ensemble des dispositions qui permettent à une organisation de poursuivre ses activités les plus importantes quand un événement grave la frappe : cyberattaque, panne d'un prestataire, incendie, inondation, absence massive du personnel. L'idée n'est pas d'empêcher l'incident, c'est le rôle de la sécurité, mais de décider à l'avance ce qui doit continuer coûte que coûte, en combien de temps et avec quels moyens.

Le Secrétariat général de la défense et de la sécurité nationale (SGDSN), dans son guide de 2013 qui reste la référence française, présente la démarche comme une suite logique : comprendre le contexte et identifier les activités essentielles, exprimer leurs besoins de continuité, analyser les risques, choisir une stratégie, puis la mettre en œuvre et la faire vivre par des exercices. Le plan de continuité d'activité est le document qui décline cette stratégie.

Au niveau international, la norme ISO 22301 parle de management de la continuité d'activité : un système qui fixe des objectifs, des responsabilités, des tests et une amélioration continue, comme l'ISO 27001 le fait pour la sécurité de l'information. Nous lui consacrons le chapitre ISO 22301.

Les plans de continuité ont longtemps été construits autour de la perte d'un bâtiment ou d'un centre informatique : on basculait sur un site de secours et l'activité reprenait. Une cyberattaque par rançongiciel rend ce schéma insuffisant, pour trois raisons que l'ANSSI détaille dans son guide Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique :

• le périmètre est incertain : au début, personne ne sait jusqu'où l'attaquant est allé, et un site de secours relié au même annuaire peut être compromis lui aussi ;
• la menace évolue pendant la crise : l'attaquant peut revenir, exfiltrer des données, faire pression ;
• la durée est longue : le guide décrit une épreuve d'endurance plutôt qu'un sprint, qui peut durer plusieurs semaines, voire plusieurs mois.

Conséquence : on ne peut pas se contenter de « redémarrer ». Il faut d'abord endiguer l'attaque, puis reprendre le contrôle du système d'information avant de le reconstruire. Pendant tout ce temps, les métiers doivent fonctionner en mode dégradé, parfois sur papier. C'est ce qui relie la continuité d'activité, la reprise informatique et la gestion de crise : elles se jouent en même temps, avec des équipes différentes.

Ce guide suit l'ordre dans lequel une organisation construit sa résilience. Chaque chapitre approfondit une brique, avec l'exemple fictif d'un centre hospitalier frappé par un rançongiciel.

1. Chapitre 1 ISO 22301 Le système de management de la continuité d'activité : structure de la norme, exigences clés, certification.
2. Chapitre 2 Bilan d'impact sur l'activité (BIA) Activités essentielles, DMIA, PDMA et ressources critiques : le point de départ de tout le reste.
3. Chapitre 3 Plan de reprise d'activité (PRA) Remettre le système d'information en route après une attaque, et distinguer PCA, PRA et PCI.
4. Chapitre 4 Gestion de crise cyber Cellule de crise, rôles, main courante, communication et notifications réglementaires.
5. Chapitre 5 Exercice de crise cyber Préparer, jouer et tirer les enseignements d'un exercice, selon la méthode de l'ANSSI.

Nous suivrons ce que l'hôpital avait préparé (son bilan d'impact et son PCA), comment il a remis son informatique en route (PRA), comment sa cellule de crise a fonctionné, et l'exercice qu'il a organisé ensuite. Les établissements de santé sont une cible connue : notre article cyberattaque à l'hôpital revient sur un cas réel et sur ses suites.

Le bilan d'impact et l'analyse de risques répondent à deux questions différentes. Le BIA demande : si cette activité s'arrête, à partir de quand est-ce grave ? L'analyse de risques demande : qu'est-ce qui pourrait l'arrêter, et avec quelle vraisemblance ? ISO 22301 les place côte à côte dans la même exigence, et le guide du SGDSN fait de l'analyse des risques une étape de la démarche PCA.

En pratique, les deux se nourrissent. Les besoins de disponibilité exprimés dans une classification DICP ou dans l'atelier 1 d'EBIOS RM (par exemple « service indisponible plus de 24 heures ») ressemblent beaucoup à une DMIA. Et les scénarios d'une analyse menée avec la méthode EBIOS RM ou selon l'ISO 27005 fournissent les scénarios de crise que le PCA doit couvrir. Le rançongiciel de notre fil rouge est d'ailleurs le type de scénario que le guide EBIOS RM étudie de bout en bout, vu ici du côté de la continuité.

Aucun texte n'impose une démarche de continuité à toutes les organisations. Mais les réglementations récentes la rendent obligatoire pour un nombre croissant d'entre elles :

• NIS 2 : l'article 21 de la directive range parmi les mesures minimales « la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ». Voir notre guide NIS 2.
• DORA : pour les entités financières, l'article 11 du règlement exige une politique de continuité des activités de TIC, un bilan d'impact, une fonction de gestion de crise et des tests au moins annuels ; l'article 12 encadre les sauvegardes et la restauration. Voir notre guide DORA.
• Secteurs régulés : certains secteurs ajoutent leurs propres exigences ; pour la santé, notre article sur le PCA présente le programme CaRE et son volet continuité.

Au-delà des textes, clients, assureurs et donneurs d'ordre demandent de plus en plus la preuve d'un dispositif de continuité testé. Le RSSI est souvent sollicité pour la partie cyber, même quand la continuité relève d'une autre direction.

La continuité d'activité se mène souvent avec des tableurs et des documents bureautiques. Le risque est connu : un PCA stocké uniquement sur le serveur que le rançongiciel vient de chiffrer ne sert à rien. Gardez donc toujours une version imprimée ou hors ligne des procédures de crise et des annuaires, comme le recommande l'ANSSI.