Mieux connaître son activité pour construire un PCA/PRA
Comment construire son PCA ? Avant de définir une stratégie de continuité, les organisations doivent identifier leurs risques et faiblesses.
Article publié le 10 juin 2020. Les chiffres, les outils et la réglementation qu'il cite ont pu évoluer depuis.
Aujourd’hui, il n’est plus possible de protéger son environnement à 100 %. Toute organisation sera touchée un jour : la vraie question est de savoir quand. Dès lors, il faut identifier les activités dont la perte est la plus dommageable pour l’organisation, puis déterminer comment limiter son exposition aux risques et les conséquences encourues. Pour bien anticiper et pouvoir protéger son activité, il est primordial de déterminer les menaces et risques auxquels on est confronté.
Mais qu’est-ce qu’un risque ? Les menaces deviennent des risques uniquement lorsque les processus sont visés. Afin de maîtriser sa continuité d’activité, toute organisation doit mener des actions pour prendre conscience de son environnement et de son propre fonctionnement.
Une analyse de risque pour mieux les maîtriser
Pour assurer sa continuité, l’organisation doit savoir à quelles menaces d’interruption de ses activités elle est exposée. L’analyse de risque permettra ainsi de chiffrer les évaluations des pertes et les probabilités d’occurrence des sinistres.
Une fois les risques connus, l’entreprise peut ensuite étudier les options permettant d’en réduire les effets et définir les priorités d’actions pour les maîtriser. Ainsi, elle aura une meilleure connaissance des scénarios de sinistre dit « résiduels » qui demeurent encore possibles.
Disposant de chiffres de mesure d’impact et des probabilités, elle pourra réaliser un schéma cartésien avec les impacts ou pertes et les probabilités.
Une analyse d’impact pour étudier les effets des sinistres
L’analyse d’impact sur les activités (BIA) consiste à étudier comment les sinistres, lorsqu’ils se produisent, affectent le déroulement des activités de l’entreprise. On examine les divers impacts du sinistre financier, organisationnel ou en termes d’image. On envisage également de quelles manières l’activité critique pourrait continuer, et comment faire revenir la situation en mode de fonctionnement acceptable. L’objectif est de déterminer les activités critiques de l’entreprise et de comprendre ce sur quoi elle repose.
Le déroulement d’un sinistre et le développement de ses conséquences sur l’activité d’une entreprise peuvent se décomposer en cinq étapes :
- Objectif et hypothèses de départ
- Analyse des processus d’affaires
- Détermination des configurations
- Paramètres de reprise
- Rapport
Une fois les risques maîtrisés et les sinistres étudiés, il est temps d’orienter la stratégie de continuité, puis de développer le Plan de Continuité d’Activité. Comment ? Lisez notre article sur la stratégie de continuité, puis celui consacré à l’élaboration d’un plan de continuité d’activité.
Rédigé par l'équipe Veyan : des consultants seniors certifiés ISO/IEC 27001, EBIOS Risk Manager et DPO, au sein d'une société de conseil en cybersécurité fondée en 2017 à Guidel. Découvrir l'équipe
Questions fréquentes
Par où commencer un plan de continuité d’activité ?
Commencez par identifier les activités dont la perte serait la plus dommageable pour votre organisation, puis les menaces et les risques auxquels elle est confrontée. Une analyse de risque et une analyse d’impact sur les activités fondent ensuite la stratégie de continuité, puis le plan de continuité d’activité lui-même.
Quelle différence entre une menace et un risque ?
Selon l’article, les menaces deviennent des risques uniquement lorsque les processus de l’organisation sont visés. Pour maîtriser sa continuité d’activité, chaque organisation doit donc prendre conscience de son environnement et de son propre fonctionnement, afin de repérer les processus exposés.
À quoi sert une analyse de risque dans un PCA ?
Elle indique à quelles menaces d’interruption de ses activités l’organisation est exposée. Elle permet de chiffrer les pertes possibles et les probabilités d’occurrence des sinistres, puis de définir les priorités d’actions pour les maîtriser. L’entreprise connaît ainsi les scénarios de sinistre résiduels, qui demeurent possibles.
Qu’est-ce qu’une analyse d’impact sur les activités (BIA) ?
L’analyse d’impact sur les activités, ou BIA, étudie comment un sinistre affecte le déroulement des activités de l’entreprise : impacts financiers, organisationnels ou d’image. Elle envisage aussi comment l’activité critique pourrait continuer et revenir à un fonctionnement acceptable. Son objectif est de déterminer les activités critiques et ce sur quoi elles reposent.
Quelles sont les étapes d’une analyse d’impact ?
L’article décompose le déroulement d’un sinistre et de ses conséquences en cinq étapes : objectif et hypothèses de départ, analyse des processus d’affaires, détermination des configurations, paramètres de reprise et rapport. Une fois les risques maîtrisés et les sinistres étudiés, vous pouvez orienter la stratégie de continuité.
Nos offres sur ce sujet
-
Prévenir
Gestion de crise et continuité
Préparer votre direction à une cyberattaque et organiser la reprise de vos activités vitales.
-
Mesurer
Analyse de risques EBIOS RM
Identifier les scénarios d'attaque qui menacent vraiment votre activité et y proportionner vos défenses.
