Un ransomware chiffre le serveur de fichiers un lundi matin. Microsoft 365 reste accessible, mais les devis, dossiers clients et documents de production ne le sont plus. L’enjeu n’est alors pas seulement de restaurer des données : il faut décider qui communique, quelles équipes peuvent continuer à travailler, quels accès doivent être coupés et dans quel ordre les services doivent revenir. Ce guide continuité des activités numériques s’adresse aux dirigeants et responsables opérationnels qui veulent éviter que chaque incident informatique devienne une crise d’entreprise.
Pour une PME, la continuité ne consiste pas à reproduire l’infrastructure d’une grande banque. Elle consiste à identifier ce qui doit absolument fonctionner, à accepter certains compromis de coût et de délai, puis à mettre en place des procédures réalistes. Une solution de secours qui n’a jamais été testée ou qui dépend d’une seule personne n’est pas un plan de continuité.
Pourquoi la continuité numérique est un sujet de direction
Une interruption informatique peut provenir d’une cyberattaque, d’une panne de matériel, d’une erreur de configuration, d’un fournisseur indisponible ou d’un sinistre dans les locaux. Les causes varient, mais les conséquences sont souvent les mêmes : opérations ralenties, clients sans réponse, facturation bloquée, données exposées et équipes qui improvisent.
Le coût réel ne se limite pas aux heures de support informatique. Il inclut les ventes reportées, les délais contractuels non tenus, le temps passé à reconstruire l’information et l’atteinte à la confiance. Pour une organisation qui dépend d’un ERP, d’un environnement Microsoft 365, d’applications métier ou d’accès distants, quelques heures d’arrêt peuvent désorganiser toute la chaîne de décision.
La continuité des activités numériques doit donc être portée par la direction, avec l’appui des responsables métiers et de l’équipe TI. La technologie est une partie de la réponse, mais elle ne peut pas déterminer seule les priorités de l’entreprise.
Guide de continuité des activités numériques : commencer par les priorités
Le premier travail consiste à cartographier les activités critiques. Il ne s’agit pas de lister tous les logiciels utilisés dans l’entreprise. Il faut partir des processus qui génèrent du chiffre d’affaires, servent les clients, assurent la paie, permettent la production ou répondent à des obligations réglementaires.
Pour chaque processus, posez trois questions simples : combien de temps peut-il être indisponible, quelles données lui sont nécessaires et qui doit pouvoir travailler pendant l’incident ? Une équipe commerciale peut parfois fonctionner avec un accès limité pendant une journée. En revanche, une entreprise de services qui ne peut plus accéder à son système de tickets ou à ses dossiers clients peut perdre sa capacité à livrer dès les premières heures.
Cette analyse permet de fixer deux objectifs concrets. Le premier est le délai de reprise acceptable, souvent appelé RTO : en combien de temps le service doit-il redevenir utilisable ? Le second est la perte de données acceptable, ou RPO : quelle quantité de données l’entreprise peut-elle se permettre de perdre entre deux sauvegardes ?
Ces objectifs ne doivent pas être identiques pour tous les services. Restaurer un serveur d’archives en 48 heures peut être acceptable. Restaurer les fichiers actifs, la messagerie, les applications de gestion ou les configurations réseau peut exiger une reprise bien plus rapide. En cherchant à tout remettre en service immédiatement, on augmente les coûts sans forcément réduire le risque là où il compte.
Concevoir une architecture de reprise crédible
Une fois les priorités établies, la question devient opérationnelle : de quoi l’entreprise a-t-elle besoin pour reprendre dans les délais fixés ? Cela couvre les données, les identités, les appareils, le réseau, les applications et les moyens de communication.
Les sauvegardes constituent la base, à condition qu’elles soient isolées, surveillées et restaurables. Une copie synchronisée en permanence vers un espace cloud n’est pas forcément une sauvegarde. Si un ransomware chiffre les fichiers synchronisés, il peut également contaminer la copie distante. Il faut prévoir des versions historiques, une protection contre la suppression malveillante et, selon le niveau de risque, une copie indépendante de l’environnement de production.
La restauration doit aussi tenir compte de l’ordre des dépendances. Avant de remettre en ligne une application métier, il peut être nécessaire de restaurer l’identité, les droits d’accès, la base de données, le pare-feu, la connectivité VPN ou les certificats. Documenter cet ordre évite de perdre des heures à restaurer un service inutilisable faute de composant préalable.
La gestion centralisée des postes joue également un rôle direct dans la continuité. Avec Intune ou un outil équivalent, une PME peut réappliquer des politiques de sécurité, déployer des applications et réinitialiser un appareil compromis sans repartir de zéro. Cette capacité est particulièrement utile lorsque les collaborateurs travaillent à distance ou que plusieurs machines doivent être remplacées après un incident.
Le cloud peut améliorer la résilience, mais il ne la garantit pas automatiquement. Microsoft 365, Azure ou une application SaaS réduisent certains risques liés aux serveurs locaux. Ils ne remplacent pas la gestion des identités, l’authentification multifacteur, les sauvegardes adaptées, la configuration des droits et les procédures de reprise. La responsabilité est partagée : le fournisseur sécurise sa plateforme, l’entreprise reste responsable de ses utilisateurs, de ses données et de ses paramètres.
Prévoir les accès et les communications pendant l’incident
Un plan de continuité échoue souvent pour une raison très simple : les équipes ne savent pas qui décide ni comment communiquer lorsque les outils habituels sont indisponibles. Si la messagerie est affectée, disposer uniquement d’un document stocké dans la messagerie ne sert à rien.
Le plan doit désigner un responsable de crise, un relais et les personnes habilitées à prendre des décisions techniques ou commerciales. Il doit aussi prévoir un canal de communication alternatif, une liste de contacts accessible hors ligne et des modèles de messages pour les collaborateurs, clients et fournisseurs concernés.
La gestion des accès demande la même préparation. Pendant une attaque, il peut être nécessaire de désactiver des comptes, de couper l’accès VPN, d’imposer une réinitialisation des mots de passe ou d’isoler certains appareils. Ces actions protègent l’environnement, mais elles perturbent aussi le travail. Les critères de décision doivent être définis avant l’urgence, avec un équilibre clair entre confinement et continuité des opérations.
Tester le plan sans arrêter l’entreprise
Un plan écrit ne prouve rien. La seule validation utile est un test régulier, adapté à la taille de l’organisation. Il peut commencer par un exercice sur table : un scénario est présenté aux responsables, qui expliquent leurs actions durant les premières heures. Cet exercice révèle rapidement les zones floues, les dépendances inconnues et les décisions qui n’ont pas de propriétaire.
Ensuite, les tests techniques doivent confirmer que les sauvegardes se restaurent dans les délais annoncés. Il faut vérifier non seulement qu’un fichier peut être récupéré, mais aussi qu’un serveur, une base de données ou une application complète peut redémarrer dans un environnement contrôlé. Un rapport de sauvegarde indiquant « réussi » ne démontre pas qu’une reprise est possible.
Les scénarios doivent varier. Une indisponibilité de Microsoft 365 ne se traite pas comme un ransomware. Une panne internet ne se gère pas comme la compromission d’un compte administrateur. Tester plusieurs cas permet de distinguer les procédures communes, comme la communication de crise, des réponses spécifiques à chaque situation.
Après chaque test ou incident réel, mettez le plan à jour. Les changements de personnel, les nouvelles applications, les acquisitions de matériel et les migrations cloud modifient les risques. La continuité est un processus de gestion, pas un document à archiver après sa rédaction.
Renforcer la continuité par la cybersécurité quotidienne
La meilleure reprise est celle qui n’a pas besoin d’être déclenchée. Les mesures de cybersécurité réduisent directement la fréquence et l’impact des incidents : authentification multifacteur, comptes administrateurs séparés, correctifs réguliers, filtrage des courriels, protection des postes, segmentation réseau et surveillance des alertes.
La sensibilisation des employés reste essentielle. Un utilisateur qui signale rapidement un courriel suspect ou une demande de paiement inhabituelle peut éviter une compromission majeure. À l’inverse, une politique de sécurité trop complexe et mal expliquée encourage les contournements. Les règles doivent être compréhensibles, applicables et soutenues par la direction.
Pour les PME qui n’ont pas une équipe interne complète, un partenaire TI peut apporter la méthode, les outils de supervision et la discipline de test nécessaires. Daramac TECH peut notamment aider à relier sauvegardes, protection des identités, gestion des appareils et procédures de reprise dans une approche cohérente, plutôt que d’empiler des solutions isolées.
La bonne question à poser cette semaine n’est pas « avons-nous un plan ? », mais « si notre système principal s’arrêtait maintenant, qui ferait quoi dans la première heure ? ». Une réponse précise, testée et comprise par les bonnes personnes est déjà un avantage opérationnel considérable.