Ce qu’est ISO 22301
ISO 22301 est la norme internationale des systèmes de management de la continuité d’activité. Elle demande à une organisation de comprendre ce qu’elle doit maintenir en fonctionnement, au moyen d’une analyse d’impact sur l’activité, de fixer des objectifs de reprise, de planifier la manière de les atteindre, de tester les plans par des exercices et de les améliorer. Elle peut faire l’objet d’une certification et a la même structure qu’ISO 27001. Les questionnaires clients emploient son vocabulaire même lorsqu’ils ne la nomment jamais.
Ce que demandent les clients
- Si vous disposez d’un plan de continuité d’activité et d’un plan de reprise après sinistre, qui en est responsable et quand ils ont été revus pour la dernière fois.
- Vos objectifs de temps de reprise et de point de reprise pour le service qu’il achète.
- Comment les sauvegardes sont réalisées, à quelle fréquence, où elles sont conservées, si elles sont chiffrées, et quand une restauration a été testée pour la dernière fois.
- Si le service fonctionne dans plus d’un centre de données ou d’une zone de disponibilité, et ce qui se passe si l’un d’eux est perdu.
- Quand les plans ont été exercés pour la dernière fois, ce qui a été constaté, et ce qui a été modifié ensuite.
- Comment vous informeriez le client d’une panne majeure, et dans quel délai.
- Ce qu’il advient du service et des données du client si votre entreprise cesse son activité.
Répondre en tant que fournisseur
Donnez des chiffres et des dates. « Nous avons un plan de reprise après sinistre » ne clôt rien ; « RTO de 8 heures et RPO de 24 heures, sauvegardes chiffrées quotidiennes dans une seconde région, restauration testée en mars, plan revu en juin » clôt la section. Si votre hébergeur gère la partie infrastructure, citez sa certification et décrivez ce que vous ajoutez : vos sauvegardes, votre test de restauration, votre plan de communication. Soyez honnête sur les objectifs. Un relecteur qui voit un RTO de quatre heures chez une petite entreprise demandera comment il a été testé.
Les clients financiers soumis à DORA et les entités couvertes par NIS2 demandent plus de détails sur la sortie et sur la continuité de vos propres fournisseurs. La question de la sortie, c’est-à-dire comment le client récupère ses données et passe à un autre prestataire, mérite une réponse écrite à part entière.
Dans Responsemate
Le plan de continuité, le dernier rapport de test et la politique de sauvegarde se trouvent dans la base de connaissances comme preuves avec leurs dates d’expiration, de sorte qu’un test périmé apparaît avant qu’un client ne le découvre. Chaque ligne sur la continuité est rédigée à partir d’eux avec la source affichée. Les connaissances dans Responsemate.
Questions fréquentes
Quelle est la différence entre RTO et RPO ?
L’objectif de temps de reprise (RTO) est la durée pendant laquelle le service peut être indisponible avant d’être rétabli. L’objectif de point de reprise (RPO) est la quantité de données, mesurée en temps, qui peut être perdue. « RTO 8 heures, RPO 24 heures » signifie un retour en service sous huit heures, avec au plus une journée de modifications perdues.
Avons-nous besoin d’une certification ISO 22301 ?
Rarement. Les clients de la finance et des secteurs critiques la demandent parfois, mais la plupart acceptent un plan de continuité documenté, une analyse d’impact sur l’activité et la preuve d’un test récent.