I - LA CONTINUITE DE SERVICE BATIMENT INUTILISABLE MOYENS DETRUITS cela n'arrive pas qu'aux autres R.Hanouz Conseil Cabinet d ’expertise en sécurité et qualité des SI

SOMMAIRE 1 - LES CONCEPTS 3 2 - LA DIRECTION DE CRISE 13 3 - LES SAUVEGARDES DE RECOURS 28 4 - LES MOYENS DE SECOURS ET DE REPLI 43 5 - LA FORMALISATION DES PLANS 68 6 - LA DEMARCHE DE MISE EN ŒUVRE 73 7 - LES CONDITIONS DE REUSSITE 84 2

POURQUOI UN PLAN DE CONTINUITE ? Malgré toutes les précautions mises en œuvre dans l ’emploi des systèmes d ’information, aucune société n’est à l ’abri d ’un incident grave. Un plan doit tout prévoir pour assurer la continuité et le retour à une situation normale suite à un sinistre. Le plan de continuité de service a pour but de rétablir : . les moyens ou ressources nécessaires au fonctionnement : informatique, télécom, locaux ... . les activités vitales de l’entreprise 3

LES CAUSES Accidents : Erreurs : Malveillance : Physiques (incendie, explosion, dégâts des eaux, pollution, etc.) Pannes Force majeure (événements naturels) Perte de services essentiels (télécom, électricité, eau, etc.) Conflit social (blocage des accès)… Erreurs : Erreurs d’utilisation Malveillance : Le vol de matériel Le sabotage matériel Les attaques logiques Le vol de patrimoine 4

Source: Ontrack Data International, Inc. LES CAUSES Matériel Désastre naturel Virus Humain Logiciel Source: Ontrack Data International, Inc. April 1999 44% 7% 32% 14% 3% Erreurs (30%) Malveillance (70%) 5

IMPACTS SUR LES ACTIVITES Impacts Financiers Impacts Organisationnels Impacts Juridiques et Sociaux Impacts sur l'Image 6

DEUX CAS REELS - Une informatique en info gérance. Une mauvaise coordination entre les partenaires, une procédure de gestion d'incident non complète, un grand pont du 14 juillet, un serveur important est arrêté pendant quatre jours. Organisation fortement perturbée Implications Juridiques et Sociales entre partenaires Impact sur l’image de marque - Un « bogue » informatique rend inutilisable des milliers de poste téléphonique, même les N° a privilège ne fonctionnent plus (octobre 2004) Organisation fortement perturbée Impact sur l’image de marque Perte possible de clientèle 7

LES OBJECTIFS D ’UN PLAN DE CONTINUITE - Assurer le service clientèle - Disposer d ’un argument commercial de plus en plus demandé - Répondre aux demandes des actionnaires - Répondre aux organismes de tutelle - Garantir la survie de l ’entreprise, quoi qu ’il arrive 8

LA PROBLEMATIQUE DU SECOURS INFORMATIQUE (1/2) Deux types d'objectifs : - limiter le délai d'interruption - limiter les pertes de données Déterminer les moyens à mettre en œuvre pour faire face à une situation de crise Suite à une situation d ’exception, quelle qu ’en soit la cause, ayant mis hors service une ressource nécessaire au fonctionnement d ’une activité, le plan de secours doit assurer la continuité de l’activité. Il prend le relais des mesures de sécurité défaillantes. 9

LA PROBLEMATIQUE DU SECOURS Perte des moyens, des fichiers, INFORMATIQUE (1/2) Sinistre fonctionnement normal fonctionnement en secours FIN DE JOURNEE Indisponibilité REPRISE RETOUR Perte des moyens, des fichiers, des documents Délai d ’interruption Prise de sauvegarde Reprise de l'activité Retour à la normale Interruption brutale Situation à la reprise 10

LE PLAN DE CONTINUITE D ’ENTREPRISE Sinistre fonctionnement en secours REPRISE RETOUR indisponibilité Plans de Continuité des Ressources Plan de gestion de crise (Alertes, Premières mesures) (ressources nécessaires aux activités sensibles) Les process ayant été recensés par criticité, les activités qui en dépendent sont prises en compte en priorité dans le plan de continuité Plans de Continuité des Activités (activités sensibles par métiers) 11

LES COMPOSANTS DU PLAN - 2 - Des sauvegardes de recours - 1 - Une organisation pour gérer la crise : - 2 - Des sauvegardes de recours - 2 - Des ressources de secours : - 3 - Des procédures formalisées et testées : - 1 - décisionnelles - 2 - de communication d’urgence - 3 - techniques - 4 - utilisateurs Plan de continuité 1 3 2 n Un plan de secours nécessite la mise en place : d'une organisation de crise ad hoc : le comité de crise décisionnel et des comités de crise opérationnels des moyens de secours : locaux de repli, moyens informatiques, téléphones, ... des procédures formalisées pour utiliser ces moyens dans un contexte de sinistre (stress, délai, ...) 12

SOMMAIRE 1 - LES CONCEPTS 3 2 - LA DIRECTION DE CRISE 13 3 - LES SAUVEGARDES DE RECOURS 28 4 - LES MOYENS DE SECOURS ET DE REPLI 43 5 - LA FORMALISATION DES PLANS 68 6 - LA DEMARCHE DE MISE EN ŒUVRE 73 7 - LES CONDITIONS DE REUSSITE 84 13

UNE ORGANISATION DE CRISE La Direction Générale doit anticiper l'arrivée d'un sinistre : - en ayant mis en place une organisation de gestion de crise "ad hoc" qui a des délégations de pouvoir - en s'étant réservée des domaines prévus d'intervention 14

LA STRUCTURE DE CRISE Direction Générale Cellule de crise Domaine de compétence réservée Direction Générale Délégation conditionnelle Cellule de crise décisionnelle Marge de manoeuvre Cellule de crise opérationnelle 15

LES CELLULES DE CRISE (GROSSE STRUCTURE) CCD Comité Exécutif Cellule de Crise Décisionnelle Communication CCI Cellule de Crise Informatique CCM Cellule de de Crise Moyens CCL Cellule de Crise Locale 16

LA CELLULE DE CRISE DECISIONNELLE La CCD est composée des fonctions : un patron : le coordinateur de crise (RSSI, ...) un représentant du Comité Exécutif un Secrétaire général (assurances, financier) un Directeur de la communication un Responsable des cellules de crise opérationnelles un Directeur des Ressources Humaines un Directeur des affaires juridiques un Responsable de l’Audit et du contrôle un assistant administratif Prévoir des remplaçants pour chaque fonction 17

LES CELLULES DE CRISE OPERATIONNELLES La Cellule de Crise Informatique : CCI Production Système Réseaux Serveurs Etudes Micro informatique 18

LES CELLULES DE CRISE OPERATIONNELLES La Cellule de Crise Moyens : CCM Moyens généraux Logistique Téléphone Télécoms 19

LES CELLULES DE CRISE OPERATIONNELLES Les Cellules de Crise Locales : CCL par départements, services (métiers) : Responsable secours local Encadrement 20

LE PROCESSUS D'ALERTE ET DE DECLENCHEMENT SUITE A SINISTRE PHYSIQUE Comité Exécutif Alerte confirmée Communication Poste de garde Responsable d'astreinte CCD ALERTER PREVENIR COMMUNIQUER REAGIR CCI CCM CCL 21

LA MALLETTE DE CRISE Chaque intervenant jouant un rôle dans la gestion de la crise reçoit une mallette de crise à son arrivée au point de ralliement. Contenu de la mallette de crise : - Manuel de crise - Partie du plan de secours concerné par le rôle - Annuaire du plan de continuité - Appareil photo (rôle de responsable d'astreinte) 22

LE CIRCUIT D'INFORMATION Les décideurs ont été sensibilisés et motivés lors de la validation du Manuel de Crise. Information de la Cellule de Crise Décisionnelle : - Remontées d'informations périodiques des cellules opérationnelles - Synthèses périodiques à la Direction Générale 23

LA COMMUNICATION INTERNE Information du personnel : - Source unique : la Cellule de Crise décisionnelle - Définition des canaux d'information à utiliser : lettre, messagerie, réunion, ... - CHSCT : obligation légale 24

LA COMMUNICATION EXTERNE Avant la crise : - Définir la politique de communication (maison mère) - Identifier les cibles (média, partenaires,...) - Préparer les messages à transmettre - Prévision de mise en place d ’un standard de crise - S'entraîner En période de crise : - Cohérence de l'information : même source --> la Cellule de Crise Décisionnelle (communication) - Faire passer des messages clairs et rassurant 25

ETRE CLAIR ET RASSURANT Anticiper le pire : Minimiser l ’impact de la crise peut amener à se faire dépasser par les événements Jouer la transparence : Un refus d ’informer peut être interprété comme un aveu Un manque d ’explication peut faire propager des rumeurs S ’en remettre aux experts : les experts confèrent à l ’entreprise une crédibilité 26

LA SALLE DE REUNION DE CRISE Salle de réunion de crise Salle de communication Bureau de travail téléphones sortants téléphones entrants fax Table de réunion Radio TV Internet Tenue de la main courante téléphone entrant filtré Porte gardée 27

SOMMAIRE 1 - LES CONCEPTS ET LA PROBLEMATIQUE 3 2 - LA DIRECTION DE CRISE 13 3 - LES SAUVEGARDES DE RECOURS 28 4- LES MOYENS DE SECOURS ET DE REPLI 43 5 - LA FORMALISATION DES PLANS 68 6 - LA DEMARCHE DE MISE EN ŒUVRE 73 7 - LES CONDITIONS DE REUSSITE 84 28

LES TYPES DE SAUVEGARDES Les sauvegardes de production les sauvegardes de recours Les sauvegardes de recours THS (Très Haute Sécurité) Les sauvegardes d'archivage 29

LES TYPES DE SAUVEGARDES DE RECOURS xxxxx LES TYPES DE SAUVEGARDES DE RECOURS Trois types de sauvegardes de recours, pour faire face à un sinistre : Les sauvegardes de recours informatiques Systèmes, fichiers, logiciels, procédures, documentation Flux échangés Les sauvegardes de recours des configurations et paramétrages matériels télécoms, réseaux Plans de brassage, fichiers de l ’autocom Les sauvegardes de recours de documents Données traitées par les utilisateurs Documents non reconstituables dans le délai imparti Les sauvegardes de recours informatiques sont à différencier des sauvegardes de production et d'archivage. Elles sont destinées à la reprise d'activité, suite à un sinistre informatique ayant détruit tout ou partie de l’environnement sur support magnétiques. Elles sont prises à un ou plusieurs points de synchronisation. Elles doivent, donc, être : -exhaustives cohérentes intègres externalisées pour être utilisables, quoi qu'il arrive. Les sauvegardes de recours de documents concernent les mesures de conservation quotidienne à prendre pour assurer la reprise des activités vitales, suite à sinistre les ayant détruites. Elles impliquent des documents uniques (exemple les contrats), les encours, les courriers, la documentation applicative, ... le plan de sauvegarde des documents : les lieux de conservation, les contrôles La documentation d’exploitation doit également être sauvegardée 30 6

LES CRITERES DES SAUVEGARDES DE RECOURS Assurer la portabilité de l ’activité Etre récentes et fréquentes Etre cohérentes à la fin de chaque fin d'un cycle de production Etre éloignées des données d'origine (mise hors site) Etre restaurables sur un autre site (compatibilité logicielle et matérielle) Etre accessibles en permanence, quoi qu'il arrive, aux seules personnes habilitées Gestion des sauvegardes : le plan de sauvegarde de recours informatique Chaque système informatique de l’entreprise doit faire l’objet d’une sauvegarde régulière : chaque évolution technique, chaque jour (mode incrémental), chaque semaine pour une copie complète des données, périodiquement selon le besoin des applicatifs. Le plan de sauvegarde de recours est en général différent des sauvegardes d’exploitation. Le nombre de générations de sauvegardes et le mode de rotation entre le site d’exploitation, le site de stockage et de secours doivent être définis, ainsi que les modalités pratiques de transfert et de contrôle. Les procédures de gestion des sauvegardes doivent être documentées et mises à jour régulièrement. le ou les points d’ancrage Régulièrement, un contrôle doit être effectué pour s’assurer de l’existence et de l’état des sauvegardes, en particulier de celles de création ancienne Le test global de la qualité des sauvegardes doit être réalisé par la restauration de l’ensemble des données en condition de back-up. Ce test doit être réalisé au moins une fois par an. Les sauvegardes de recours doivent être stockées dans un endroit distant de la salle informatique. 31

LES SAUVEGARDES DE RECOURS EN ENVIRONNEMENT INFORMATIQUE CENTRALISE Détermination d'un ou plusieurs points d'ancrage (point de synchronisation où les restaurations seront faites) Sauvegarde du système et des logiciels Sauvegarde des fichiers au ou aux points d'ancrage Sauvegarde des échanges de fichiers émis ou reçus Sauvegarde des données enregistrées depuis le point d'ancrage 32

LES SAUVEGARDES DE RECOURS EN ENVIRONNEMENT INFORMATIQUE REPARTI La problématique : La montée en charge rapide des serveurs La non standardisation de l'exploitation L'hétérogénéité des systèmes d'exploitation La difficulté de trouver un point de synchronisation des sauvegardes La nécessité d ’automatiser la gestion des sauvegardes 33

LES SAUVEGARDES DE RECOURS EN ENVIRONNEMENT INFORMATIQUE REPARTI Les choix d'architecture : Emplacement du serveur de sauvegarde Emplacement de son robot Sauvegarde centralisée / Sauvegarde décentralisée Administration centralisée 34

LA CONSERVATION DES SAUVEGARDES DE RECOURS Deux solutions : Conservation interne à l'entreprise Conservation externe par prestataire de service Critères de choix : Organisation Responsabilité / Assurance Confidentialité / Disponibilité 35

LES TECHNIQUES DE DES SAUVEGARDES DE RECOURS Télé Backup Stockage Données chiffrées Donées compressées LAN / WAN Transmission des fichiers modifiés 36

LES TECHNIQUES DE DES SAUVEGARDES DE RECOURS Backup/restore à forte disponibilité Disponibilité immédiate, hors systèmes et composants Système redondant RAID RPS Multiprocesseur Logiciel gestion de fichiers Volume Disque physique 37

LES TECHNIQUES DE DES SAUVEGARDES DE RECOURS haute disponibilité miroir disques  Délai de reprise : 1 heure à 4 heures Perte maximale de données admissible : 0 Impact : Aucun sur la production quotidienne, site de secours à proximité Coût : 25 à 40 % du budget de la production informatique (contrainte élevée coûts et architecture télécoms) Lien fibre optique haut débit Site Entreprise Site Secours Prestataire Mainframe secours mutualisé Baie disque IBM RVA Baie disque client Multiplexeur Serveur 38

LES TECHNIQUES DE DES SAUVEGARDES DE RECOURS Technologie SAN Réseau local Fibre optique, serveurs sauvegarde clustérisés, architecture évolutive Transferts grande vitesse 49

LES LOGICIELS DE GESTION DE SAUVEGARDE Exhaustivité des sauvegardes Modularité des restaurations Aide à l'organisation des sauvegardes et des restaurations : point d'ancrage, ordonnancement des sauvegardes Intégration dans l'environnement informatique Ergonomie / performance / fonctionnement 40

LES LOGICIELS DE GESTION DE SAUVEGARDE Environnement MVS : XT SAFE d'EXPLOITIQUE Environnement Unix : TWIN KIT de TWINIX (GUARDIAN) Environnement NT : ? 41

SOLUTIONS DE SAUVEGARDE EN ENVIRONNEMENT REPARTI Editeurs : - IBM : ADSM - QUADRATEC : Time navigator - LEGATO : Networker - VERITAS : Netbackup Intégrateurs - OPEN TECHNOLOGIE : ADSM - Distrilogie : ADSM - QUADRATEC : TIME NAVIGATOR - Axlan : NETWORKER - Synstar : NETBACKUP 42