RSA ARCHER BUSINESS CONTINUITY MANAGEMENT AND OPERATIONS Présentation de solution

Transcription

1 RSA ARCHER BUSINESS CONTINUITY MANAGEMENT AND OPERATIONS Présentation de solution D UN COUP D ŒIL Tirez le meilleur parti d une solution intégrée 3 en 1 : analyse des risques et de l impact, planification de la continuité/reprise d activité et gestion de crise Documentez le plan de continuité et de reprise d activité standardisé Automatisez la maintenance et le test des plans avec les workflows, les notifications et la gestion des problèmes Analysez la criticité et les risques liés aux processus grâce à l évaluation des risques intégrée et l analyse de l impact pour l entreprise Gérez les événements de crise et les plans de notification par étapes, et procédez à une intégration avec les plans de continuité et de reprise d activité INTRODUCTION Plus que jamais, les entreprises dépendent de services, de processus métiers et de technologies visant à générer des revenus et atteindre les objectifs fixés. Investisseurs, clients et conseils d administration s intéressent de plus en plus à la capacité des équipes de gestion à poursuivre les opérations malgré une interruption et à accomplir la mission de l entreprise. Les entreprises doivent disposer d un référentiel central d outils d aide à la décision en temps réel permettant au personnel de réagir rapidement et efficacement si une crise a des répercussions sur les employés, les clients, les opérations ou la réputation de la marque. La gestion de la continuité d activité est un processus de gestion globale qui identifie les menaces potentielles visant une entreprise et l impact éventuel de ces menaces sur les opérations métiers. La gestion de la continuité d activité fournit un framework pour créer une résilience organisationnelle capable de réagir efficacement et de préserver les intérêts des principales parties prenantes, de la réputation de l entreprise, de la marque et des activités de création de valeur. De plus en plus d entreprises reconnaissent que la gestion de la continuité d activité est une fonction critique. Dans le monde entier, de nombreuses administrations et presque toutes les organisations réglementaires ont intégré des exigences de gestion de la continuité d activité. Cette forte sensibilisation à l importance de la gestion de la continuité d activité est due à trois grands facteurs : o o o des exigences de livraison 24x7 qui pèsent davantage sur la disponibilité des ressources métiers et informatiques ; la mondialisation et une chaîne d approvisionnement de plus en plus développée et complexe ; une augmentation des risques opérationnels due à des interruptions plus fréquentes. DÉFIS LIÉS À LA CONTINUITÉ ET À LA REPRISE D'ACTIVITÉ La gestion de la continuité d activité est au cœur des préoccupations des entreprises, et elle est indispensable pour préserver une bonne fiabilité financière et la réputation de l entreprise. L augmentation du nombre d attaques terroristes (depuis septembre 2011), les pannes de courant de 2003, les attentats de Londres en 2005, les ouragans aux États-Unis en 2005, les fusillades dans les lycées, les inondations au Royaume-Uni et aux États-Unis, les séismes à Haïti et au Chili, le nuage de cendres en Islande, l accident pétrolier de BP en 2010, le séisme/tsunami/incident nucléaire au Japon en 2011 et bien d autres événements invitent à une plus large planification des scénarios, à la coordination des secteurs publics et privés, et à une plus grande surveillance de la réglementation régissant la continuité d activité dans le cadre des opérations métiers. L inefficacité de la planification de continuité ou des efforts de restauration peut coûter très cher et entraîner des pertes indéterminées ou inacceptables. Une planification inefficace peut s avérer coûteuse, sans pour autant garantir la restauration de l entreprise après un incident. Par exemple, une entreprise qui détermine que tous ses processus sont critiques et doivent être restaurés PRÉSENTATION DE LA SOLUTION

2 immédiatement dépense de l argent et fournit des efforts peut-être inutilement. Inversement, une entreprise qui ne planifie rien n est pas consciente de ses lacunes. Une planification efficace permet de limiter les pertes financières découlant d une crise. Quoi qu il se passe, l entreprise doit continuer à fonctionner. Attendre qu un événement se produise pour «voir comment l entreprise réagit» n augure rien de bon. Les entreprises tirent toujours des leçons des crises réelles, mais l apprentissage doit se faire en fonction des plans mis en place, et non par rapport au début du processus. L entreprise qui agit de manière proactive et raisonnée, et qui teste ses plans, optimise sensiblement ses efforts de restauration. Une formation adéquate de l'équipe en charge de la restauration avec des plans exhaustifs réduit en grande partie l'inquiétude et allège la charge de gestion pesant sur l'équipe dirigeante, ce qui lui permet de continuer à centrer ses efforts sur la direction des activités. Toutefois, même si les entreprises reconnaissent de plus en plus la gestion de la continuité d activité comme une fonction critique, beaucoup d entre elles doivent faire face à une multitude de problèmes dans l implémentation et le maintien des plans de continuité et de reprise d activité. Généralement, la documentation de plan statique est capturée à l aide de plusieurs outils et de systèmes rigides dont la personnalisation et la mise à niveau coûtent cher. De plus, les processus de création, d approbation, de maintien et de test des plans de continuité/reprise d activité ne sont pas coordonnés. En effet, la communication entre les équipes de continuité d activité, de reprise d activité et de gestion de crise est minime et offre une visibilité partagée limitée pour les risques liés à l informatique ou à la branche d activité, qu ils soient nouveaux ou émergents, susceptibles de nuire à la continuité ou à la résilience de l entreprise. On ne sait pas exactement quels processus, technologies et composants d infrastructure sont prioritaires dans le cadre de la restauration en fonction de leur criticité pour l entreprise, et les responsabilités ne sont pas définies pour la restauration. Il est donc difficile d établir un reporting ou de prouver aux cadres dirigeants que les plans de continuité/reprise d activité actuels fonctionneront comme prévu. Les entreprises peuvent également souffrir des répercussions associées à la continuité. Les interruptions métiers, des défaillances d infrastructure isolées aux événements régionaux, peuvent sérieusement affecter les résultats financiers ou la réputation d une entreprise. Pour la plupart des entreprises, les stratégies existantes de reprise d activité comportent d immenses lacunes, avec des stratégies de gestion de la continuité d activité axées sur la gestion de crise, sur la reprise d activité ou sur la reprise d activité informatique. Cependant, si ces spécificités existent, elles sont conçues et développées séparément et leur intégration fait défaut : support de gestion informatique et métier ou parrainage haute qualité inexistants, et participation minime, le cas échéant, des principaux groupes (opérations, finance, informatique, risques, sécurité, etc.). Les responsabilités associées à la continuité d activité ne sont pas définies.

3 Les efforts de restauration de l'entreprise sont généralement décousus et ponctuels, reposant sur des «mesures héroïques». L entreprise n est pas certaine de survivre à une interruption de son activité. Les objectifs, les priorités et les attentes de restauration ont été établis sans évaluation des risques ni analyse de l'impact sur les activités. Les stratégies de continuité d activité sont ponctuelles et ne suivent aucun plan de continuité d activité documenté. Aucun processus de test, de formation et de sensibilisation n a été implémenté, et la gestion repose sur des processus de continuité non testés ou insuffisamment testés en cas d interruption métier. La reprise d activité informatique constitue souvent l aspect le plus abouti du processus de continuité, mais sa coordination avec la planification de continuité d activité et de gestion de crise est rarement optimale. Les employés connaissent mal leur rôle en cas de restauration, ce qui peut nuire à la réactivité de l entreprise. La planification et les tests de continuité d activité et de reprise d activité informatique ne suivent pas les nouvelles orientations et priorités de l entreprise. Les évaluations des risques, les analyses de l'impact sur les activités et les plans de continuité/reprise d activité doivent suivre l évolution de l entreprise, de ses processus, de ses priorités et de ses besoins. IMPACT DES RÈGLEMENTATIONS SUR LES PROGRAMMES DE GESTION DE LA CONTINUITÉ D'ACTIVITÉ De nombreux secteurs et leurs réglementations nécessitent un certain niveau de gouvernance de la gestion de la continuité d activité, y compris pour les sociétés cotées en bourse, les organismes de santé, les administrations, les institutions financières et les services publics. Il existe plus d une centaine de réglementations, méthodologies, modèles de maturité, guides et législations sur la continuité et la reprise d activité. Ces sources officielles peuvent être régionales, nationales, sectorielles, spécifiques, pratiques, associées aux bonnes pratiques, etc. Attendue depuis longtemps, la récente norme de gestion de la continuité d activité de l Organisation internationale de normalisation (ISO) indique les exigences de configuration et de gestion des systèmes de gestion de la continuité d activité. Cette norme représente une avancée majeure dans des domaines comme la réaction face aux sinistres et la communication de crise. La gouvernance exécutive devient également le point central des programmes de gestion de la continuité d activité et permet une implémentation plus rigoureuse au sein des entreprises. Au final, les questions sont plus nombreuses que les réponses pour beaucoup d entreprises : à quelles sources faut-il se conformer et pourquoi? Une fois que ces sources sont définies, comment gérer les conflits entre ces dernières et établir une hiérarchie? Par ailleurs, comment instituer ces exigences dans notre programme existant? Et si nous y parvenons, ces sources officielles nous fourniront-elles de bons conseils ou s agit-il simplement d une liste de contrôle des exigences? Que se passe-t-il en cas d audit? Comment prouver la conformité de notre programme? Enfin, comment l expliquer et le justifier face aux dirigeants et aux partenaires commerciaux? Ces questions surgissent à tous les niveaux d aboutissement dans les programmes de continuité/reprise d activité. Dans le monde des affaires actuel, une seule chose est sûre : les choses changent. Les entreprises doivent être à l affût des modifications apportées aux sources officielles dont elles dépendent, et surveiller les sources émergentes et leurs implications sur leur activité et leur programme de gestion de la continuité d activité. Les entreprises doivent également être au courant des modifications opérées sur leurs activités, comme les acquisitions qui peuvent nécessiter de nouvelles sources officielles, les dessaisissements qui peuvent réduire le nombre de sources auxquelles se conformer, ou d autres modifications métiers ayant des répercussions sur le programme de gestion de la continuité d activité.

4 LA GESTION DE LA CONTINUITÉ ET DE LA REPRISE D ACTIVITÉ ENTRE DANS UNE NOUVELLE DIMENSION Pour que les entreprises fassent entrer leur gestion de la continuité et de la reprise d activité dans une nouvelle dimension, elles doivent tenir compte des points suivants. Intégration du contexte métier dans le plan de continuité et de reprise d activité : Comment pouvez-vous savoir ce qui est important si vous ignorez la criticité de vos activités? Quels sont les processus les plus critiques? Quels objectifs de restauration sont les plus appropriés? Quelles ressources informatiques prennent en charge les processus métiers et héritent donc des mêmes besoins en termes de restauration? Toutes ces questions doivent trouver une réponse lors de la définition des priorités, des stratégies, des tests et de l activation de la restauration. Un processus métier centralisé et un référentiel des ressources lié à l'infrastructure informatique qui les prend en charge permettent aux équipes de gestion de cataloguer et organiser l infrastructure afin de définir ce qu il faut restaurer et les liens entre les différents éléments. Alignement du plan de continuité et de reprise d activité sur les priorités métiers La norme ISO recommande d aligner la gestion de la continuité d activité sur les priorités métiers et les objectifs stratégiques de l entreprise de manière assez flexible face à l évolution des priorités. Les activités sont fluides. Les choses changent. Les priorités sont régulièrement évaluées : pourquoi la planification et l exécution de la gestion de la continuité d activité ne suivraient pas le même modèle? Les stratégies de restauration adaptées dans une partie du monde et pour une situation spécifique peuvent ne pas convenir ailleurs. La question se doit d être posée : nos priorités et nos stratégies de restauration sont-elles adaptées aux risques et éventuelles interruptions réels? Si tel n est pas le cas, la gestion de la continuité d activité n est rien d autre qu un exercice théorique, et elle ne permet pas forcément à l entreprise de survivre à un sinistre réel. Les équipes de gestion peuvent ensuite s appuyer sur cette liste de processus métiers et ce catalogue de ressources, pour déterminer la criticité et les priorités de restauration, telles que l objectif de temps de restauration. Une méthodologie, une approche et un outil centralisés seront ainsi mis à la disposition de groupes distincts souhaitant définir ces priorités. Les résultats des analyses de l impact sur l activité peuvent servir à de nombreuses activités, comme la gestion des menaces, la gestion des risques et la mise en conformité. Intégration de la gestion de crise et de la planification de la continuité/ reprise d activité C est une chose de se sortir d une crise moyennant des «efforts héroïques». C en est une autre de planifier et de gérer proactivement l événement jusqu à sa résolution, puis d activer les plans de continuité/reprise d activité adéquats et restaurer les ressources et les processus interrompus dans le cadre des objectifs de restauration. C est un défi colossal pour la plupart des entreprises. Il est indispensable de disposer des bons outils et de processus opérationnels compatibles pour gérer efficacement une crise. Pour améliorer ses chances de réussite, il faut tester sans relâche les plans de continuité/reprise d activité, mais aussi la gestion de crise. Gestion du programme dans son ensemble Rassembler les différents éléments, de la planification au test et à l exécution, puis générer des rapports, améliorer la situation, et recommencer. Il est essentiel d adapter le programme de gestion de la continuité d activité aux modifications qui s opèrent au niveau de l entreprise, des réglementations, des nouvelles activités et d autres facteurs internes et externes. Pour être efficace, un programme de gestion de la continuité d activité nécessite l attention des équipes exécutives et la mise en place d une hiérarchisation des tâches. Pour cela, il faut un programme de gestion de la continuité d activité efficace, pouvant faire l objet de rapports, qui cerne les besoins de l entreprise et y répond, et surtout peut effectuer une restauration après une interruption.

5 Opérations Surveillance des programmes Gestion d'entreprise Visibilité POURQUOI RSA ARCHER POUR LA GESTION DE LA CONTINUITÉ D ACTIVITÉ ET LES OPÉRATIONS? RSA Archer Business Continuity Management (BCM) offre une approche trois en un de la continuité d activité, de la reprise d activité et de la gestion de crise dans un système unique. Les entreprises peuvent ainsi réagir rapidement en cas de crise pour protéger les opérations en cours, évaluer la criticité de leurs processus métiers et des technologies sous-jacentes, puis développer des plans détaillés de continuité et de reprise d activité en s appuyant sur un workflow automatisé de test et d approbation des plans. RSA Archer BCM a été développé en collaboration avec des clients cités dans le classement Fortune 1000 et des spécialistes des risques opérationnels travaillant chez Accenture, Deloitte & Touche, E&Y, KPMG et Wipro. Avec RSA Archer Business Continuity Management, la planification de la continuité s aligne avec les priorités et les objectifs métiers de l entreprise, tandis que les stratégies et les plans de restauration sont conçus et testés par le biais d un processus et d une méthodologie de continuité/reprise d activité cohérents afin que les employés concernés sachent quoi faire en situation de crise. L entreprise gère l exécution de ces plans et en assure la promotion pour limiter l impact des situations de crise sur son personnel, ses clients, sa réputation et ses opérations métiers.

6 RSA Archer BCM offre des plans de continuité/reprise d activité automatisés et actualisés pour simplifier l accès aux tout derniers environnements et processus métiers de l entreprise en cas d interruption de service. Des processus cohérents fournissent une bonne visibilité sur l état actuel des statuts de plan de l entreprise, les dates de vérification, les résultats des tests, les statuts de correction des tests et les tâches de crise, ce qui permet une excellente collaboration entre les équipes de continuité d activité, de reprise d activité et de gestion de crise. Le personnel de gestion de crise peut réagir efficacement à une crise grâce à des procédures documentées et détaillées. Les plans de continuité/reprise d activité sont associés au référentiel de l entreprise comportant processus, ressources, installations et contacts, et permettent un alignement avec les priorités métiers de l entreprise et la définition des responsabilités. Les cadres dirigeants comprennent les risques liés à la continuité, ont connaissance des exigences budgétaires requises et savent qu un plan est prévu en cas de crise. RSA Archer fournit une expertise immédiate dans le domaine des réglementations, des menaces et des bonnes pratiques associées à la solution RSA Archer BCM, ce qui permet aux clients d économiser du temps et des ressources pour la gestion de la sécurité, des risques et de la conformité. Fonctions mobiles d accès aux plans de continuité d activité, de reprise d activité et de gestion de crise, et tâches de restaurations provenant de n importe où en cas de crise Interface conviviale qui permet aux utilisateurs métiers d effectuer des modifications sans code personnalisé Intégration de la continuité d activité dans un programme GRC plus vaste de l entreprise, afin d offrir une cohérence des mesures et du reporting concernant les risques dans l entreprise Centralisation et coordination de l évaluation des risques, des analyses de l impact sur l activité, des plans de continuité d activité et de reprise d activité informatique, et de la gestion de crise ANALYSE DES RISQUES ET DE L IMPACT Le BCM Risk Register permet aux clients d identifier, d évaluer et de planifier les risques susceptibles de compromettre leurs activités. L analyse de l impact sur l activité collecte des informations sur chaque processus métier à propos de sa criticité, de l objectif de temps de restauration (RTO) et de l objectif de point de restauration (RPO), et les partage entre les équipes interdépendantes sous un format simple et cohérent.

7 PLAN DE CONTINUITÉ ET DE REPRISE D ACTIVITÉ Développez des plans de reprise détaillés pour les processus métiers ou les ressources informatiques en utilisant le workflow automatisé de test et d approbation des plans. L application fournit une méthode de documentation des résultats des tests de plans de continuité/reprise d activité, de propriété et de workflow. GESTION DE CRISE ET RÉACTION Rapportez et gérez les événements de crise, envoyez des notifications d urgence pour communiquer les informations de crise aux employés concernés, et activez les plans de continuité/reprise d activité pour restaurer les opérations métiers, les installations ou l infrastructure informatique ayant subi une interruption. COLLABORATION OPÉRATIONNELLE À L ÉCHELLE DE L ENTREPRISE Intégrez RSA Archer BCM avec RSA Archer Enterprise Management pour rattacher les composants BCM comme les risques, les analyses de l impact pour l activité, les plans de reprise ou les crises, aux unités organisationnelles (divisions, entités, etc.) et à l infrastructure (processus, installations, applications informatiques, informations essentielles, etc.) pour profiter de la visibilité, de la propriété et du reporting. Liez les plans de continuité/reprise d activité directement à un référentiel de hiérarchie métier et d infrastructure d entreprise. Effectuez une intégration avec d autres processus GRC, comme la gestion des risques d entreprise, la gestion des incidents ou la gestion tierce afin d aligner les efforts de restauration avec les objectifs et les priorités de l entreprise. Évaluez la capacité de la restauration et déterminez la conformité avec les principales sources officielles ou méthodologies. BCM MOBILE APPLICATION Les entreprises peuvent tirer le meilleur parti de RSA Archer BCM Mobile Application pour afficher les plans de continuité/reprise d activité, les stratégies, les arbres d appel et les exigences en fonction du rôle d utilisateur. Cette application complète les versions papier des plans pour une disponibilité n importe où en cas de crise et une réaction rapide. L application mobile permet aux entreprises de profiter d une haute disponibilité réelle pour les plans de continuité/reprise d activité par le biais d un accès hors ligne en cas d indisponibilité du datacenter.

8 PLATE-FORME EGRC RSA Archer egrc Platform prend en charge la gestion de la gouvernance, du risque et de la conformité à l échelle de l entreprise. À l origine de toutes les solutions RSA Archer egrc, la plate-forme peut s adapter à des exigences organisationnelles et s intégrer avec d autres systèmes sans qu une seule ligne de code ne soit modifiée. Il s agit d une plateforme commune et flexible dédiée à l automatisation des processus, à l intégration et au reporting, qui permet aux utilisateurs métiers de gérer leurs processus métiers de continuité d activité/reprise d activité/gestion de crise. La plate-forme offre des notifications et un workflow cohérents et faciles d utilisation, avec une fonction de reporting en temps réel et des tableaux de bord fournissant une bonne visibilité des activités et des statuts de continuité d activité/reprise d activité/gestion de crise. EGRC CONTENT LIBRARY RSA Archer egrc Content Library constitue la base de connaissances la plus complète du secteur en termes de gestion de la gouvernance, du risque et de la conformité en entreprise (egrc). Cette bibliothèque inclut des politiques de bonnes pratiques, des normes de contrôle, des procédures de contrôle, des questions d évaluation et des sources officielles préconfigurées pour démarrer immédiatement le reporting. COMMUNAUTÉ EGRC La communauté Archer egrc fournit un réseau en ligne recensant plus de professionnels de la gestion de la gouvernance, du risque et de la conformité pour faciliter la collaboration sur l egrc et la gestion de la continuité d activité, les tendances qui se profilent et les pistes d amélioration des produits. RSA ARCHER PROFESSIONAL SERVICES ET EMC CONSULTING SERVICES RSA Archer propose un consulting pour les processus de continuité d activité, de reprise d activité et de gestion de crise effectué par des experts de l implémentation RSA Archer egrc et de la continuité/reprise d activité EMC. CONCLUSION Les programmes de gestion de la continuité d activité bénéfiques commencent par la gestion centralisée du programme, incluent une méthodologie ou une approche de base, intègrent des personnes qui font partie d un programme central dans l entreprise et dans les services informatiques, et tirent le meilleur parti d outils facilitant et optimisant un processus plus transparent. Grâce à la solution Business Continuity Management and Operations de RSA, les entreprises peuvent déployer un processus de gestion globale pour parer à toute interruption des processus métiers, gérer les crises et gérer les risques liés aux opérations métiers. Les entreprises peuvent automatiser leur approche de la planification de la continuité et la reprise d activité, et assurer une gestion rapide et efficace des crises avec une seule solution. NOUS CONTACTER Pour savoir comment les produits, services et solutions d EMC peuvent vous aider à relever vos défis métiers et informatiques, contactez votre responsable de compte ou un revendeur agréé, ou visitez notre site Web à l adresse EMC 2, EMC, le logo EMC et RSA Archer sont des marques déposées ou des marques commerciales d EMC Corporation aux États-Unis et dans d autres pays. VMware est une marque déposée de VMware, Inc. aux États-Unis et dans d autres juridictions. Copyright 2012 EMC Corporation. Tous droits réservés. 01/13 EMC Perspective EMC estime que les informations figurant dans ce document sont exactes à la date de publication. Ces informations sont sujettes à modification sans préavis.