Article de direction
La continuité de la mission avant la conformité
Partir de l’activité qui doit continuer et examiner les preuves qui fondent cette confiance.
Le problème de gestion
Un contrôle peut réussir un audit alors que le service reste fragile. Pour un commandement maritime ou un fournisseur de défense, quelles décisions, communications et fonctions de soutien doivent rester fiables lorsque la technologie échoue ? La conformité apporte des preuves ; la continuité exige une capacité démontrée.
Un cadre de décision
Le NIST CSF 2.0 décrit des résultats de cybersécurité pour gérer le risque, et non une liste universelle de mise en œuvre. Sa fonction Govern place explicitement la gouvernance parmi les fonctions. [1] Nous recommandons de commencer par un service critique, son responsable et ses dépendances externes.
Tester le mode dégradé
Scénario : le service d’identité devient indisponible pendant un déploiement urgent. Définir le service minimal, le recours autorisé, l’objectif de rétablissement et la personne habilitée à arrêter une activité dangereuse. Tester avec les opérateurs et relever les obstacles liés aux identifiants, fournisseurs et communications. Ce sont des propositions éditoriales, pas des exigences NIST supplémentaires.
Éclairer la prochaine décision
Présenter les résultats de rétablissement testés, les dépendances non résolues, un responsable et une échéance. Le NIST SP 800-61 Rev. 3 intègre la réponse aux incidents à la gestion du risque. [2] Réinjecter les enseignements dans les investissements. Un test étaye une conclusion limitée, sans garantir la résilience face à tout incident.
Cartographier le service, pas seulement les équipements
Prenons un centre maritime fictif. Ses communications peuvent dépendre de l’identité, de l’électricité, de la synchronisation horaire, de liaisons externes et de maintenance spécialisée. Une liste de serveurs ne décrit pas les relations nécessaires à la veille opérationnelle. Associer chaque dépendance à un responsable et rechercher les causes communes de panne. Deux solutions ne sont pas indépendantes si elles exigent le même fournisseur d’identité indisponible.
Fixer un objectif défendable
L’objectif de rétablissement doit traduire un besoin opérationnel, pas seulement un délai espéré par l’informatique. Demander combien de temps les opérateurs peuvent travailler avec des données retardées, quelles transactions doivent être conservées et comment reconnaître une situation dangereuse. Comparer ces besoins à la capacité démontrée. Pour tout écart persistant, documenter restriction, autorité et procédure compensatoire.
Transformer l’exercice en décision d’investissement
Simuler l’absence de l’administrateur habituel et un canal principal devenu suspect. Observer la recherche des instructions, l’obtention des autorisations et la validation des informations restaurées. Exprimer le manque en conséquences opérationnelles : une relève sans données fiables éclaire mieux qu’un score inexpliqué. Financer la dépendance limitante, fixer un nouveau test et conserver les preuves. Un exercice utile modifie une décision.
Références
Cyber Policy Review · Analyse éditoriale. Paraphrases originales, sans citation littérale. Les références ne signifient ni certification ni approbation.
Publications