Votre informatique fonctionne. Est-elle prête pour le jour où elle ne fonctionnera plus ?
Actualités
7 Min
La résilience informatique : encaisser un incident et repartir vite. Définition simple, quatre piliers et dix questions pour situer votre entreprise.
🎯 L'essentiel
La résilience informatique, c'est la capacité d'une organisation à encaisser un incident et à reprendre son activité dans un délai maîtrisé. Ce n'est pas l'absence de panne : c'est l'absence d'improvisation quand la panne arrive.
Une informatique qui fonctionne n'est pas forcément une informatique prête. Fonctionner et être préparé sont deux choses différentes.
Elle repose sur quatre piliers : anticiper ce qui peut casser, protéger ce qui est indispensable, savoir reprendre, et superviser pour que tout reste vrai dans le temps.
Le piège le plus courant est le faux sentiment de sécurité : une sauvegarde jamais restaurée, un plan de reprise jamais testé, une alerte que personne ne lit.
Dix questions simples, en fin d'article, permettent de situer votre organisation en dix minutes.
📌 Pourquoi ce sujet maintenant
Ce mois-ci, le blog a parlé d'un sous-traitant attaqué, de clouds en panne, d'un composant retiré par un éditeur, de mises à jour, de délais de reprise, de points uniques de défaillance et d'un exercice de crise. Sept sujets en apparence différents, une seule question : que se passe-t-il le jour où ça ne fonctionne plus ? Cet article les relie et sert de point d'entrée.
Une voiture qui roule n'est pas forcément une voiture prête à crever. La roue de secours est-elle gonflée ? Le cric est-il dans le coffre ? Savez-vous où se trouve l'écrou antivol ? Tant que rien n'arrive, aucune de ces questions ne se pose. Le jour où elles se posent, c'est sur le bord de la route.
L'informatique d'une entreprise fonctionne exactement de la même façon. Elle peut tourner sans accroc pendant des années sans avoir jamais été préparée à s'arrêter. C'est ce que recouvre un mot un peu abstrait : la résilience.
ℹ️ La définition, en une phrase
La résilience informatique est la capacité d'une organisation à anticiper les incidents, à en limiter l'impact, à protéger ses données et services critiques, et à reprendre son activité dans un délai prévu à l'avance.
Autrement dit : une informatique prête à encaisser l'imprévu.
Fonctionner n'est pas être prêt
C'est le point le plus contre-intuitif, et c'est pour cela qu'il mérite d'être posé noir sur blanc. Toutes les oppositions ci-dessous décrivent des situations que nous rencontrons régulièrement chez des organisations par ailleurs bien tenues.
Sauvegarder n'est pas savoir restaurer. La sauvegarde affiche « succès » depuis trois ans. Personne ne l'a jamais remise en place.
Surveiller n'est pas intervenir. L'outil envoie bien une alerte. Elle arrive dans une boîte mail consultée le lundi.
Avoir un plan de reprise n'est pas l'avoir testé. Le document existe. Il décrit une infrastructure qui a changé deux fois depuis.
Être dans le cloud n'est pas être protégé contre tout. L'hébergeur garantit que le service fonctionne, pas forcément que vos données seront récupérables après une erreur ou une attaque. Nous l'avons détaillé à propos de Microsoft 365.
Ce que la résilience n'est pas
Elle n'est pas l'invulnérabilité. Aucun prestataire honnête ne peut promettre qu'aucun incident ne vous atteindra : une panne matérielle, une erreur humaine, une attaque ou une coupure chez un fournisseur peuvent toujours survenir.
La promesse réaliste est autre : on ne peut pas empêcher tous les incidents, on peut éviter d'improviser quand ils arrivent. Une panne informatique ne devrait pas devenir une panne d'entreprise.
Les quatre piliers, expliqués simplement
Anticiper : savoir ce qui est critique avant que ça casse
Quels sont les services sans lesquels l'entreprise s'arrête ? De quoi dépendent-ils ? Quel élément, s'il tombait, bloquerait tout le monde ? C'est l'inventaire qui précède tout le reste, y compris les achats. Trois articles du mois s'y rattachent : les points uniques de défaillance, le risque lié aux sous-traitants de vos fournisseurs et la capacité à quitter un éditeur.
Protéger : réduire la probabilité et l'impact
Sauvegardes, sécurisation des accès, cloisonnement du réseau, protection électrique. L'objectif n'est pas d'empiler les outils, mais de protéger en priorité ce qui est indispensable à l'activité, y compris ce qui est hébergé ailleurs : voir le cloud est-il une sauvegarde ?
Reprendre : savoir repartir, et en combien de temps
Restauration, plan de reprise, architecture de secours, tests. C'est le pilier le plus souvent négligé, parce qu'on n'en a besoin qu'une fois. Il commence par une question chiffrée, combien de temps pouvez-vous rester sans informatique, et combien de travail pouvez-vous perdre ?, et se vérifie autour d'une table avec un exercice de crise d'une heure.
Superviser : vérifier que tout reste vrai dans le temps
Une infrastructure bien préparée en janvier peut ne plus l'être en septembre. Disques qui se remplissent, sauvegardes qui échouent en silence, mises à jour reportées. La supervision et la gestion des mises à jour maintiennent le niveau.
⚠️ La dépendance invisible
Début octobre, des utilisateurs d'un logiciel de facturation ont vu les connexions de leurs outils interrompues après l'attaque d'un sous-traitant de leur éditeur. Ils n'avaient rien fait de mal. Ils dépendaient d'un maillon qu'ils ne voyaient pas.
La résilience inclut aussi cette question : de quels services extérieurs dépendez-vous, et quel est votre plan B s'ils s'arrêtent une semaine ?
Dix questions pour situer votre organisation
Répondez par oui ou par non. Pas « à peu près ». Chaque « non » est une piste de travail, pas un reproche.
Savons-nous quels sont nos trois services informatiques les plus critiques ?
Savons-nous combien de temps l'activité peut tenir sans chacun d'eux ?
Une sauvegarde a-t-elle été restaurée pour de vrai au cours des six derniers mois ?
Au moins une copie de sauvegarde est-elle hors de portée d'un compte compromis ?
Existe-t-il un élément unique dont la panne bloquerait tout le monde ?
Une personne absente peut-elle bloquer une intervention urgente ?
Les alertes importantes atteignent-elles quelqu'un capable d'agir, y compris hors des heures ouvrées ?
Nos équipements exposés sur Internet sont-ils à jour ?
Avons-nous une procédure écrite, accessible hors du système, pour les premières heures d'un incident ?
Cette procédure a-t-elle été relue ou testée cette année ?
Huit « oui » ou plus : votre organisation est mieux préparée que la moyenne. Moins de cinq : ce n'est pas grave, c'est fréquent, mais c'est le bon moment pour s'en occuper, avant d'en avoir besoin.
Les questions à poser à votre prestataire
Si notre serveur principal tombe un mardi matin, combien de temps avant que l'équipe puisse retravailler ? Une réponse en heures, pas en adjectifs.
Quels sont, selon vous, les trois points les plus fragiles de notre infrastructure ? Un prestataire qui connaît votre système doit pouvoir répondre sans préparer.
Quand avons-nous testé notre capacité de reprise pour la dernière fois ?
🧭 Ce que nous faisons sur ce sujet
La résilience informatique est le fil conducteur de tout ce que nous faisons. Notre démarche suit trois temps : diagnostiquer les fragilités, renforcer les points prioritaires, puis maintenir le niveau dans la durée.
Pour y parvenir, nous mobilisons les briques adaptées à votre contexte : audit d'infrastructure, sauvegarde et Plan de Reprise Informatique, virtualisation avec Proxmox VE, VMware ou Hyper-V, sécurité, supervision et infogérance. Artisan dans l'approche, ingénieur dans la méthode.
❓ Questions fréquentes
Qu'est-ce que la résilience informatique ?
C'est la capacité d'une organisation à anticiper les incidents, en limiter l'impact, protéger ses données et reprendre son activité dans un délai prévu à l'avance. Elle englobe la sauvegarde, la sécurité, la reprise et la supervision, sans se réduire à l'une d'elles.
Quelle différence entre résilience et cybersécurité ?
La cybersécurité cherche principalement à empêcher les attaques. La résilience part du principe qu'un incident finira par arriver, attaque ou simple panne, et cherche à en limiter les conséquences et à permettre la reprise.
Une petite entreprise a-t-elle besoin de résilience informatique ?
Oui, à sa mesure. Une PME n'a pas besoin d'un site de secours. Elle a besoin de savoir ce qui est critique, que ses sauvegardes se restaurent, et qui fait quoi le jour où ça casse. C'est souvent plus une question d'organisation que de budget.
Par où commencer ?
Par l'inventaire : identifier les trois services sans lesquels l'activité s'arrête, puis vérifier pour chacun comment il serait restauré et en combien de temps. Les dix questions de cet article sont un bon point de départ.
Sources & Références
Les faits cités renvoient aux articles du mois, chacun avec ses sources primaires : risque tiers, cloud et sauvegarde, Broadcom et VDDK, mises à jour.
Stratégie éditoriale SPM Digital : définition de la résilience IT et des quatre piliers Anticiper, Protéger, Reprendre, Superviser.
Retours terrain SPM Digital sur les diagnostics d'infrastructure réalisés chez nos clients.
Sylvain Sarazin
Fondateur de SPM DIGITAL · Artisan de la résilience IT
Ressources
