Pourquoi avoir un Plan de Reprise après Sinistre et comment en créer un

Si vous avez un site web, vous devriez sérieusement envisager de créer et implémenter un plan de reprise après sinistre (PRS). Qu'il s'agisse de catastrophes naturelles (comme celui qui a ravagé un centre de données en France au mois de mars), de piratages ou de violations de données, vous souhaitez limiter les pertes potentielles et planifier votre stratégie de réponse avant que le désastre ne survienne.

N'oubliez pas que votre hébergeur ne sera généralement responsable que pour la valeur du service hébergé lui-même, et non pour la perte de revenus engendrée ou la valeur (souvent inestimable) de vos données, alors planifiez en conséquence !

Qu'est-ce qu'un plan de reprise après sinistre ?

Un plan de reprise après sinistre (PRS) est en fait une feuille de route qui décrit les procédures à suivre pour permettre le rétablissement de systèmes technologiques importants (comme votre site web et vos données) après une catastrophe naturelle ou d'origine humaine. Ce plan doit aussi préciser les personnes et les outils impliqués dans le processus de récupération afin de minimiser au maximum les pertes.

Quels sont les enjeux? Vous pourriez subir une perte de revenus, une perte de clientèle et votre réputation risque d'être entachée de manière permanente. L'argent et le temps consacrés à identifier, à résoudre et enfin à "faire le ménage" après le sinistre (y compris la pression sur le service à la clientèle) peuvent avoir un impact considérable sur vos résultats. 

Alors comment peut-on minimiser certaines de ces pertes potentielles? Voyons comment un plan de reprise après sinistre peut vous aider.

Comment créer un plan de reprise après sinistre

Il est important d'avoir un plan pour certaines situations spécifiques et de savoir comment rapidement mettre en œuvre les mesures nécessaires pour réduire les pertes et remettre votre site web opérationnel le plus rapidement possible.

Voici un aperçu simplifié sur la manière de créer un plan de reprise après sinistre efficace :

Identifier les menaces potentielles

Par exemple:

1. Catastrophes naturelles (tremblement de terre, tornade ou incendie)
2. Problèmes de fournisseurs importants (votre centre de données, CRM, systèmes de paiement)
3. Brèche au niveau de la sécurité (vol de vos données ou le piratage de votre site web)
4. Perte ou suppression accidentelle de données

Vous pouvez également vous renseigner auprès de votre hébergeur pour savoir si vos sauvegardes sont stockées dans le même centre de données ou à plusieurs endroits. Cela permet d'atténuer les risques de perte totale de vos données, bien que cela soit rare.

Identifier une équipe d'intervention en cas de catastrophe

Les membres de votre équipe doivent participer à la planification de la reprise après sinistre afin d'apporter leur expertise, ou du moins être informés du rôle qu'ils auront à jouer. Ils devront être formés pour chaque processus de reprise après sinistre prévu. 

Cette équipe peut être composée de plusieurs personnes: administrateurs système, développeurs, directeurs, agents du service à la clientèle, spécialistes en communication, ou encore votre division juridique. 

Documenter votre plan de reprise

Vous devez identifier ce qui suit:

1. Équipes internes et externes et/ou fournisseurs
   Qui doit être impliqué dans ce processus?
2. Ressources informatiques
   Quels sont les logiciels, les plateformes, le matériel et les autres ressources nécessaires à la reprise?
3. Budget
   Combien coûtera le soutien de ce processus, en termes de sauvegardes en continu, d'heures de travail et de temps d'arrêt (perte de revenus)?
4. Canaux de communication
   Comment comptez-vous informer vos clients ou communiquer avec le public, en sachant que votre site web est probablement inaccessible à ce stade?
5. Tester votre processus
   Comment pouvez-vous tester votre processus de récupération et vous assurer qu'il est efficace avant qu'une catastrophe ne survienne?
6. Processus de vérification
   Comment ferez-vous pour déterminer si c'est une réussite ou non? Quels sont ces indicateurs? Timing, budget, taux de perte de la clientèle, etc.
7. Prévention et atténuation des catastrophes
   Que faire pour éviter complètement ces catastrophes ou pour atténuer les risques?

Rédiger un plan de réponse aux incidents

Dans le cadre du PRS, vous voudrez probablement inclure un plan d'intervention en cas d'incident qui tient compte des éléments suivants:

1. Préparation
   Création de processus et de procédures appropriés pour répondre à une attaque de sécurité
2. Identification
   Création d'un processus ou d'un système capable de détecter et d'identifier une menace
3. Contention
   Limiter l'ampleur des dégâts causés par une attaque, en agissant au bon moment et en isolant le problème
4. Éradication
   Éliminer la source du problème
5. Récupération
   Restaurer vos systèmes et revenir à l’état souhaité
6. Leçons tirées
   Mettre en évidence ce qui s'est bien passé ou ce qui pourrait être amélioré au cours du processus

Comme toujours, il est préférable d'éviter les catastrophes ou de les éviter complètement.

Comment prévenir les perturbations majeures

Même avec un PRD bien préparé, votre processus de reprise pourrait bien ne pas être efficace si vous ne prenez pas les mesures importantes suivantes.

Investissez dans la sécurité

Vous devez connaître et installer les mesures et outils de sécurité appropriés pour assurer la sécurité de votre site web. Vous devriez aussi protéger votre site web à l'aide d’un certificat SSL et le scanner régulièrement à l'aide d'un outil de surveillance, comme Protection SiteSafe. Une fois les failles identifiées, réparez ou corrigez les bogues ou les vulnérabilités éventuelles dans les plus brefs délais. Envisagez de sensibiliser et former régulièrement votre équipe (et vous-même!) en matière de sécurité.

Effectuez fréquemment des sauvegardes

Sauvegardez souvent votre site web et vos bases de données. La fréquence des sauvegardes peut varier en fonction de l'activité de votre site web, mais nous recommandons des sauvegardes quotidiennes. Votre hébergeur devrait pouvoir fournir un service de sauvegarde automatique.

En plus de compter sur le service de sauvegarde automatique de votre fournisseur, pensez à sauvegarder une copie de tout le contenu et tous les changements importants de votre site sur votre ordinateur ou sur un dispositif externe de stockage, pour prévenir d'éventuelles perturbations majeures. Testez vos sauvegardes au moins une fois par an.

Évitez les points de défaillance unique pour votre site web

Si une panne majeure ou une catastrophe survient dans le centre de données de votre fournisseur de sites web, est-il équipé pour récupérer les sauvegardes et assurer le fonctionnement de votre service sur un site parallèle? Bien que rares, les pannes majeures au niveau de l'équipement, les pannes générales d'un réseau ou les catastrophes naturelles sont toujours possibles.

Il faut donc choisir un hébergeur qui a une présence sur de multiples emplacements et qui offre un certain niveau de redondance afin que les données de votre site soient stockées sur plusieurs unités de stockage différentes.

Sécurisez vos comptes

En plus d'utiliser des mots de passe distincts, et puissants, pour toutes vos connexions, pensez à utiliser un gestionnaire de mots de passe sécurisé comme LastPass ou 1Password et à activer l'authentification à 2 niveaux pour l'accès à votre compte. Les informations et les données de votre compte seront ainsi beaucoup plus sécurisées.

Protégez vos noms de domaines

Cela peut inclure la protection d'identité de domaine et le verrouillage de domaine, afin d'empêcher les transferts non autorisés de vos noms de domaine par des utilisateurs malveillants.

Choisissez un fournisseur fiable qui vous garantit un temps de fonctionnement

Choisissez un hébergeur qui offre une garantie de disponibilité de 99,9 % au minimum, et qui dispose de l'équipe et de l'infrastructure nécessaires pour intervenir rapidement en cas d'incident, en tout temps.

Alors, dites-nous, avez-vous votre processus de reprise après sinistre? Avez-vous déjà eu à l’utiliser? Faites-nous-en part dans les commentaires ci-dessous !