Le mot « sinistre » peut faire penser à des incendies, des dégâts des eaux et à d'autres événements catastrophiques qu'on ne vit qu'une fois dans notre vie. Toutefois, pour les prestataires de services managés (MSP), les sinistres sont bien plus que ce que vous lisez habituellement dans les gros titres. Une seule attaque de ransomware, une panne d'un FAI pendant une semaine, une erreur d'un employé qui efface des données client essentielles : tous ces événements peuvent être catastrophiques pour les MSP et mettre à l'épreuve leur résilience et la fidélité de leurs clients.

Pour les MSP, se préparer aux sinistres ne revient pas à se poser la question de « si », mais bien de « quand ». Alors, comment s'en sortir en cas de sinistre ? Préparez-vous à l'avance, mettez en place des systèmes robustes et testez-les régulièrement.

Dans ce blog, nous vous présentons les mesures concrètes prises par les meilleurs MSP pour faire face aux imprévus.

Les entreprises ne peuvent pas se contenter d'un plan de continuité des activités basique

En tant que MSP, vous connaissez l'importance de la planification de la continuité des activités. Il peut être tentant de mettre en place des protocoles basiques, mais il est préférable d'aller un peu plus loin. Peaufinez les détails importants et mettez régulièrement à jour votre plan afin d'augmenter vos chances non seulement de résister, mais aussi de prospérer en cas de sinistre.

Allez plus loin en vous assurant que votre check-list pour la continuité des activités comporte les éléments suivants :

Des arbres de communication clairs.

• Attribuez clairement les responsabilités et les protocoles de communication. Qui doit communiquer avec les clients en cas de défaillance des systèmes ? Que leur dit-on et à quelle fréquence communique-t-on avec eux ? Effectuez cette vérification tous les trimestres afin de vous assurer que vos points de contact sont à jour.

Des listes de récupération du système classées par ordre de priorité.

• Quelle est la structure hiérarchique dans votre système ? Que faut-il restaurer en premier pour réduire au minimum les perturbations ? Créez des check-lists détaillées et testez-les souvent.

Les rôles et les responsabilités par nom, et non par titre ou service.

• En cas d'urgence, ne laissez aucune place à l'interprétation. Énumérez clairement les noms par responsabilité et indiquez comment joindre chaque personne (adresse e-mail, identifiant Slack, numéro de téléphone, etc.).

Chaque membre de votre personnel doit savoir comment accéder à votre plan de continuité des activités en cas d'urgence. Configurez un rappel dans votre calendrier pour chaque trimestre afin de revoir vos protocoles, de les tester et de vous assurer que tout est à jour.

Des objectifs de reprise qui deviennent de vraies infrastructures

Une partie de la préparation aux sinistres consiste à identifier votre durée maximale d'interruption admissible (RTO) et vos points de reprise (objectifs). Une fois ces critères définis, vous devez mettre en place votre infrastructure afin de répondre aux exigences que vous avez fixées.

• Votre RTO correspond à la vitesse à laquelle vous devez restaurer vos systèmes. Cette démarche doit s'appuyer sur des données et non sur des intuitions. Comprenez ce que représente une minute d'indisponibilité pour vous et vos clients, puis élaborez des normes et des procédures basées sur ces chiffres.
• Votre RPO correspond à la quantité de données que vous pouvez vous permettre de perdre. Personne n'a envie de perdre des données importantes, mais il faut mettre en place des protocoles pour faire face aux pires scénarios. Le RPO est généralement mesuré en unité de temps et définit l'âge maximal des données pouvant être récupérées après une panne (par exemple, si votre RPO est de 5 heures, cela signifie que l'entreprise peut tolérer de perdre jusqu'à 5 heures de données). Ce RPO varie en fonction du client et du secteur d'activité.

Ces définitions doivent être précises et intentionnelles. Si votre RTO est de deux heures, mais que votre solution de sauvegarde actuelle prend six heures, vous vous exposez à un échec.

Adaptez vos outils de sauvegarde et de reprise après sinistre à vos objectifs de RTO et de RPO. Vous devrez peut-être créer des niveaux afin que les systèmes hautement prioritaires bénéficient d'un basculement quasi instantané, tandis que les systèmes moins critiques disposent de délais plus longs.

Testez, testez et testez encore

Ne partez pas du principe que, puisque la procédure est documentée et que les gens savent où la trouver, elle fonctionnera forcément. Un protocole de sauvegarde qui n'a jamais été testé n'est en réalité qu'une théorie. Développez un climat de confiance en testant sans relâche votre plan et vos processus de continuité des activités.

Faites des tests comme si c'était votre métier (oh mais, c'est le cas) en :

• Organisant des exercices de simulation : rassemblez votre équipe, simulez différents scénarios impliquant des sinistres et passez en revue vos mesures d'intervention à tour de rôle
• Menant des exercices de restauration surprise : prenez votre équipe au dépourvu pour vous assurer qu'elle est capable de travailler sous pression et de récupérer les données dans les délais de RTO que vous avez fixés
• Documentant absolument tout : créez un rapport détaillé après chaque test et indiquez ce qui a fonctionné, ce qui n'a pas fonctionné, quels étaient vos RTO et RPO et comment vous améliorer la prochaine fois (conseil de pro : intégrez ces données dans votre système d'IA pour vous aider à prendre des décisions commerciales plus rapides et plus éclairées).

Intégrez des tests de reprise après sinistre à votre rythme opérationnel afin de créer un climat de confiance, d'instaurer une atmosphère de responsabilité et de gagner la confiance de vos clients.

Redondances intentionnelles

Parfois, la redondance est votre meilleure police d'assurance. Tout comme vous ne vous fieriez pas à une seule méthode pour résoudre tous les problèmes, vous ne devriez pas non plus compter sur un seul système pour vous aider à vous sortir d'un sinistre.

Allez au-delà des sauvegardes de données et assurez-vous que vos protocoles prennent en compte les éléments suivants :

• Connectivité : prévoyez plusieurs solutions de secours et plusieurs fournisseurs d'accès à Internet. Si vos lignes principales tombent en panne, vous devez disposer de plusieurs solutions de repli
• Systèmes : envisagez d'utiliser la réplication dans le cloud et des serveurs et centres de données géodiversifiés.
• Personnel : formez votre personnel à plusieurs tâches et dressez la liste des personnes à contacter en cas d'urgence pour chaque étape de votre protocole de reprise.

Prenez le temps chaque trimestre de vérifier vos points de défaillance uniques. Dans quels cas dépendez-vous d'un seul fournisseur, d'un seul système ou d'une seule personne ? C'est là que vous prenez un risque.

La cybersécurité comme première ligne de défense

De nos jours, les catastrophes les plus courantes pour les MSP prennent la forme de cyberattaques, et non de sinistres naturels. Les mesures modernes de cybersécurité doivent faire partie intégrante de votre plan de préparation aux sinistres et doivent comprendre les éléments suivants :

• Détection et réponse aux terminaux (EDR)
• Authentification multifacteur (MFA) sur tout le tableau de bord
• Correctifs fréquents et automatisés et analyse des vulnérabilités
• Surveillance proactive des menaces
• Conformité à jour avec les réglementations importantes

Votre technologie de cybersécurité doit être directement liée à votre plan de reprise après sinistre. En cas d'attaque de ransomware ou d'autres cybermenaces, dans quel délai pouvez-vous isoler, contenir et récupérer vos données ?
Au fait, de nombreux clients MSP pensent qu'ils sont protégés contre les cyberattaques simplement parce qu'ils font appel à vous. Indiquez clairement à vos clients ce qu'ils peuvent et ne peuvent pas attendre de vous en matière de cybersécurité.

Une formation qui crée un alignement

Lorsqu'un sinistre se produit, le problème concerne l'ensemble de votre organisation, pas seulement votre service informatique. Tous les employés de votre MSP doivent savoir comment accéder à votre plan de continuité des activités, le comprendre et connaître leur rôle spécifique en cas de crise.

Pour assurer la conformité et l'alignement du plan de continuité des activités :

• Organisez des sessions de formation pour tous les employés de votre organisation et communiquez-leur toute mise à jour importante du plan
• Faites preuve de transparence et communiquez avec vos clients. Fournissez-leur des plans d'urgence qui décrivent ce qu'ils peuvent attendre de vous en cas de catastrophe et ce que vous attendrez d'eux.

Plus vous informez vos clients et votre personnel, plus vous les fidéliserez. Vous instaurerez un climat de confiance et serez perçu comme quelqu'un qui s'investit dans la réussite de tous.

Prospérer en toutes circonstances

Les sinistres sont inévitables, mais l'échec n'est pas une fatalité. Les MSP matures sur le plan opérationnel ont fait de la préparation aux sinistres le cœur de leur activité et sont convaincus de pouvoir mettre en œuvre les protocoles qu'ils ont créés.

Les plans de préparation aux sinistres basés sur des données, testés et régulièrement mis à jour renforcent la résilience, favorisent un sentiment de confiance et montrent que votre MSP est prêt à protéger votre entreprise et celle de vos clients quoi qu'il arrive.

Les MSP qui prennent au sérieux la préparation aux sinistres sont les mêmes qui bénéficient d'une rentabilité et d'une croissance à long terme, car les clients investiront sans cesse dans un partenaire capable de résister à toutes les tempêtes.

Vous souhaitez savoir comment les MSP matures sur le plan opérationnel en sont arrivés là ? Consultez notre modèle de maturité pour les MSP : une ressource gratuite regorgeant de stratégies pour développer une entreprise plus intelligente et plus rentable.