Un plan de continuité d'activité pratique pour une petite équipe

Une petite structure n'a pas besoin d'un manuel volumineux pour chaque situation de crise envisageable. Elle a besoin d'un plan concis visant à protéger les quelques services, décisions et informations indispensables au bon fonctionnement de l'entreprise.

Déterminez d'abord ce qui doit être maintenu

Énumérez les activités dont dépendent les clients, le personnel ou les autorités de régulation. Pour chacune d'entre elles, indiquez les personnes, les systèmes, les fournisseurs et les informations nécessaires à leur mise en œuvre.

Déterminez pendant combien de temps l'organisation pourrait supporter une interruption de ses activités et à quoi ressemblerait un niveau de service minimum viable. Cela permet d'établir des priorités lorsque tout ne peut pas être rétabli d'un seul coup.

Prévoyez en fonction des conséquences, et non de chaque scénario possible

Un incident informatique, une coupure de courant ou une interruption de service chez un fournisseur peuvent avoir des causes différentes, mais entraîner le même résultat : le personnel ne peut plus accéder à un système essentiel. Il est plus simple de prévoir les cas de perte d'accès que de rédiger un manuel distinct pour chaque type d'incident.

Préciser clairement les décisions et les responsabilités

Désignez les personnes habilitées à signaler un incident, à contacter les clients, à s'entretenir avec les fournisseurs et à approuver les dépenses d'urgence. Désignez un suppléant pour chaque poste clé et conservez leurs coordonnées dans un endroit accessible en cas de panne des systèmes habituels.

Écrivez les cinq premières mesures à prendre pour chaque conséquence majeure. En situation de pression, une courte liste ordonnée s'avère plus utile qu'un long document de politique générale.

Lier les sauvegardes à la restauration

Le NCSC recommande d'effectuer régulièrement des sauvegardes des informations essentielles et de vérifier que l'organisation est en mesure de les restaurer. Il convient de consigner l'emplacement des sauvegardes, les personnes autorisées à y accéder et le temps nécessaire à leur restauration.

Joignez des copies papier ou hors ligne contenant les informations minimales nécessaires pour entamer la restauration, tout en assurant une protection adéquate des données confidentielles et à caractère personnel.

Tester, apprendre et mettre à jour

Organisez un petit exercice simulant une interruption réaliste. Demandez à l'équipe de prendre des décisions sans lui imposer de scénario préétabli. Notez les retards, les contacts manquants, les zones d'ombre concernant les responsabilités et les hypothèses qui se sont révélées erronées.

• L'équipe a-t-elle réussi à découvrir le plan ?
• Les députés pourraient-ils prendre des décisions ?
• La sauvegarde a-t-elle été restaurée ?
• Les messages des clients étaient-ils prêts ?

Mettez à jour le plan après tout changement significatif et après chaque exercice ou incident. La continuité des activités est une capacité à entretenir, et non un document conservé à des fins d'inspection.