Continuité des activités et sauvegardes
La continuité ne se limite pas à une copie de sauvegarde. Nous aidons à identifier les activités critiques, les scénarios de rupture, les sauvegardes qui restaurent vraiment, et les plans pour maintenir ou rétablir le service.
Ce qu’on voit trop souvent
Beaucoup de PME croient être « sauvegardées » parce qu’un copieur tourne vers le nuage. Personne n’a restauré, personne n’a mesuré le délai, et le plan de continuité tient en une page oubliée.
- des copies jamais restaurées, donc jamais prouvées
- aucun RTO / RPO, ou des chiffres copiés d’un fournisseur
- un plan qui parle d’informatique seulement, pas des activités critiques
- personne ne sait qui décide d’activer le plan
- les sauvegardes et la continuité vivent dans deux dossiers qui ne se parlent pas
De quoi s’agit-il
La continuité des activités, pour ISO 27001, c’est savoir quelles activités ne doivent pas s’arrêter, en combien de temps on revient, et comment on prouve qu’on peut restaurer. Ce n’est pas l’obligation d’être certifié ISO 22301.
Nous plions les sauvegardes dans ce module : ce qui est copié, où, à quelle fréquence, qui peut restaurer, et le calendrier de tests. Une sauvegarde sans test de restauration n’est pas une preuve.
Où ça se situe dans ISO 27001
Le module couvre la continuité et les sauvegardes attendues par ISO 27001, de façon proportionnée. ISO 22301 et ISO 27031 sont des références utiles, pas des prérequis.
Sauvegardes
Une sauvegarde qui n’a jamais été restaurée n’est pas une preuve. Nous documentons ce qui est copié, où, à quelle fréquence, qui peut restaurer, et nous planifions des tests. C’est le volet le plus souvent manquant chez les PME.
Ce que comprend ce module
- Analyse d’impact (BIA) proportionnée
- Scénarios de rupture et objectifs de reprise (RTO/RPO)
- Politique et procédures de sauvegarde
- Tests de restauration, pas seulement de copie
- Rôles et communications d’urgence
Comment on travaille
Activités critiques et impacts
BIA simple : ce qui arrête le chiffre d’affaires ou une obligation client, pas un catalogue de 200 processus.
Stratégies et rôles
Contournements, sites, personnes, communications. Qui active le plan, qui parle aux clients.
Sauvegardes et restauration
Périmètre des copies, rétention, accès, procédure de restauration. On écrit le geste, pas seulement la politique.
Tests et comptes rendus
Calendrier de tests (y compris une restauration réelle), leçons, ajustements. C’est ça que l’audit veut voir.
Ce que vous recevez
- Analyse d’impact sur les activités (BIA)
- Plans de continuité des activités critiques
- Procédure de sauvegarde et de restauration
- Calendrier de tests de restauration et comptes rendus
Pour qui
PME dont le client, l’assureur ou l’ISO 27001 demande une preuve de reprise, pas seulement une copie nocturne.
Pour qui ce n’est pas
Ce module n’est pas un PRA informatique complet de grande entreprise, ni un remplacement de la gestion quotidienne des incidents. Il n’achète pas non plus un second centre de données.
Durée type
3 à 6 semaines, selon le nombre de systèmes critiques.
Ce que vous devez fournir
Vous fournissez la liste des systèmes critiques, les contrats de sauvegarde / infonuagique, et un responsable métier qui sait ce qui ne peut pas attendre 48 heures.
Limites de ce module
Ce module couvre continuité et sauvegardes. Il ne remplace pas un PRA informatique complet ni la gestion quotidienne des incidents.
Questions fréquentes
- ISO 27001 exige-t-elle ISO 22301 ?
- Non. ISO 27001 demande une continuité proportionnée aux risques. ISO 22301 est un cadre plus large, utile plus tard, pas un prérequis.
- Une copie vers le nuage suffit-elle ?
- Pas à elle seule. Il faut savoir restaurer, dans quel délai, et qui décide. Le livrable inclut la procédure et un test.
- Faut-il tester tous les systèmes ?
- On commence par les activités critiques identifiées dans la BIA. Le reste suit selon le risque.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.