Business Continuity Management Gestion de la Continuité d’Activité Pierre-Dominique Lansard / Paul Richy France Telecom Brigitte Juanals - Université Paris-Ouest Nanterre La Défense – CNRS 20 Décembre 2011

Agenda Normalisation: Quel est l’état de l’art ? Qui contribue ? Quelles sont les prochaines étapes? p 2

Gestion de la Continuité d’Activité L’état de l’art de la normalisation à la fin 2011

A L’international : ISO TC223 TC 223 “Societal Security”. Ce comité comporte 5 WG (Working Groups) La réunion la plus récente s’est tenue à Pékin du 7 au 11 novembre. Dans la mesure du possible, l’état d’avancement de chaque norme lors de cette réunion est indiqué. WG1 Framework standard on societal security management 22398 Guidelines for exercises and testing - DIS 22397 Public/ Private Partnership, Guidelines to set up partnership agreements - CD WG2 Terminology 22300 Vocabulary - FDIS p 4

A L’international :ISO TC223 WG3 Emergency Management 22320 Requirements for incident response – Paru (Nov. 2011) 22322 Public Warning Management System - CD 22324 Societal security - Emergency management - Colour coded alert - WD2 22351 Emergency management - General rules for writing data elements and codes for information sharing – WD2 22352 Emergency management - Data elements and codes for information sharing – WD2 WG4 Preparedness and continuity 22301 Business continuity management systems - Requirements - FDIS 22313 Business continuity management systems – Guidance - DIS 22323 Organizational resilience – Requirements and guidance - CD WG5 Video surveillance 22311 Video surveillance - DIS p 5

En Europe : CEN TC 391 Cette CEN a été créée en octobre 2009. Elle travaille sur les mêmes sujets que l’ISO 223. Son plan de travail actuel consiste en premier lieu à adopter les normes validées au TC 223. Réunion à Vienne le 25 octobre 2011. Outre le point précédemment mentionné, plusieurs sujets ont été à l’ordre du jour : Système de gestion de sécurité des établissements de soin. Thème porté par la république tchèque avec l’appui de la Suède. Royaume-Uni et USA considèrent qu’il s’agit d’un guide de bonnes pratiques et non d’un recueil de spécifications. La gestion du risque NRBC (Nucléaire, Radiologique, Bactériologique et Chimique), son appréciation et son évaluation. On s’oriente vers la production de spécifications techniques. p 6

En Europe : CEN TC 391 Réunion à Vienne (suite) Mandat M/487 sur l ’établissement de normes de sécurité sociétale et du citoyen. Les travaux actuels portent sur l’inventaire des normes nationales et internationales et sur les propositions de champs prioritaires. Un rapport sera présenté en février 2012. Norme sur les systèmes de gestion de la sécurité. Le titre proposé est "Gestion de la sécurité. Guide de bonnes pratiques opérationnelles et stratégiques pour les entreprises". Le projet est porté par le BSI (National Body britannique), l’Allemagne et la France ont émis des réserves. La gestion du risque NRBC, son appréciation et son évaluation. On s’oriente vers la production de spécifications techniques. Prochaine réunion à Helsinki les 26 et 27 avril 2012 p 7

En Europe : Groupe de conseil stratégique sur la cyber sécurité (STACS) Sujet déposé auprès du CEN/CENELEC à l’initiative du DIN. Réunion de lancement le 2 décembre 2011 à Berlin Participation d’une trentaine de délégués, animation par le Dr Ehler (Allemagne), secrétariat par Cord Wischhöfer (Allemagne) Approche pragmatique orientée industrie. Mandat européen sur la cyber sécurité serait en préparation. Objectifs principaux : coordination au niveau européen ; établissement d’un dialogue Europe-Etats Unis. Trois réunions par an, la prochaine à paris le 26 mars 2012. p 8

En France l’AFNOR a relancé une “Commission Nationale”: CN « Sécurité et protection du citoyen »  sous la Présidence du SGDSN (Préfet Jounot). Elle est le miroir français du TC 223 et de la CEN TC 391. Cette Commission nationale a créé, en son sein, un groupe spécifique pour traiter de la Résilience. p 9

Quels sont les enjeux ?

A l’international Il y a très peu de participants français aux travaux de l’ISO 223 concernant la gestion de la continuité notamment au niveau des entreprises. Les anglo-saxons notamment les britanniques font la pluie et le beau temps. Ces normes sont très orientées système de management de la gestion de la continuité d’activité. Parution récente de l’ISO/IEC 27031 (JTC 1/ SC 27) sur le thème Business Continuity Management. Au WG4, les deux premières normes vont être adoptées sans que nous puissions les modifier. Sur la troisième nous pourrions avoir un peu plus d’impact. p 11

En France La certification par les Britanniques, qui sont déjà en France via le BSI France, pourrait être très rapide car ils pourraient enchaîner extrêmement facilement sur la certification par rapport à leur BS 25999 qu’ils ont déjà réalisée. p 12

Qui contribue ?

A l’International Les Américains ont été les premiers sur le sujet. En ce moment ceux sont surtout les Britanniques qui sont très actifs. Les autres principaux acteurs sont: l’Australie, Hong-Kong, la Malaisie, Singapour. La France est quasiment absente ! p 14

En France Les Autorités Françaises : le SGDSN essentiellement. Le Club de la Continuité d’Activité, depuis 4 ans? Le BSI France !!!!!!! Prêt à certifier. Certains consultants spécialisés. p 15