Continuité TI : comment prioriser les systèmes quand tout semble critique?

Lorsqu’une panne majeure, une cyberattaque ou un autre incident important frappe une organisation, les équipes doivent rapidement répondre à une question fondamentale : quoi restaurer en premier? Derrière cette question apparemment simple se cache une réalité beaucoup plus complexe. Chaque unité d’affaires considère généralement ses propres outils comme essentiels à ses opérations, tandis que les équipes TI savent que certaines infrastructures moins visibles soutiennent l’ensemble de l’environnement technologique. Lorsqu’aucune réflexion n’a été menée à l’avance, ces décisions doivent être prises sous pression, dans un contexte où les impacts se multiplient et où les ressources sont limitées.

C’est précisément cet enjeu qui a été abordé lors d’une conférence présentée au Sommet Comitti par Martin Laberge d’Énergir et Marie-Hélène Primeau de Premier Continuum. Leur expérience démontre que la continuité TI ne consiste pas seulement à posséder des sauvegardes ou un plan de reprise. Elle repose avant tout sur une compréhension claire des activités de l’organisation, de leurs dépendances et des conséquences réelles qu’une interruption pourrait provoquer.

Lorsque tout semble critique

Une difficulté fréquente dans les organisations est l’absence d’un langage commun entre les équipes TI et les unités d’affaires. Les premiers tendent naturellement à évaluer la criticité à travers les architectures, les dépendances techniques et les infrastructures nécessaires au fonctionnement global des systèmes. Les seconds se concentrent davantage sur les applications qui soutiennent directement leurs activités quotidiennes. Ces deux perspectives sont légitimes, mais elles ne conduisent pas toujours aux mêmes conclusions.

Sans démarche structurée, la criticité devient rapidement une notion subjective. Chaque secteur souhaite que ses systèmes soient restaurés en priorité, souvent parce qu’il est difficile d’évaluer objectivement les conséquences d’une interruption avant qu’elle ne survienne. Cette situation peut devenir problématique lors d’un incident majeur, alors que les équipes doivent prendre des décisions importantes dans un délai très court.

Les organisations les plus matures cherchent donc à déplacer cette discussion avant la crise. Plutôt que de se demander si une application est importante, elles tentent de comprendre ce qui se produit lorsqu’elle devient indisponible. Quelles activités sont touchées? Pendant combien de temps l’organisation peut-elle continuer à fonctionner? Existe-t-il des solutions temporaires? Quels impacts financiers, réglementaires ou opérationnels une interruption prolongée pourrait-elle entraîner? Ce changement de perspective permet de transformer une perception de criticité en un véritable exercice d’analyse.

Le BIA : passer des perceptions aux impacts

Pour répondre à ces questions, de nombreuses organisations utilisent un Business Impact Analysis (BIA), ou analyse d’impact sur les activités. L’objectif n’est pas d’analyser la technologie elle-même, mais de comprendre les conséquences qu’aurait l’interruption d’une activité ou d’un service pour l’organisation.

Cette démarche permet notamment de mesurer comment les impacts évoluent dans le temps. Une application peut être indisponible pendant quelques minutes sans conséquence majeure, alors qu’un arrêt de plusieurs heures ou de plusieurs jours pourrait compromettre certains processus critiques. Le BIA aide donc à déterminer le moment où une interruption devient inacceptable et à comparer objectivement les priorités entre différentes activités.

L’exercice produit souvent des résultats surprenants. Certains systèmes perçus comme hautement critiques s’avèrent moins prioritaires que prévu lorsque des procédures manuelles ou des solutions temporaires existent. À l’inverse, certaines composantes moins visibles peuvent soutenir plusieurs activités essentielles et mériter une attention particulière lors de la reprise. Cette compréhension plus fine des impacts permet ensuite d’orienter les décisions technologiques et les investissements en résilience.

Définir des objectifs réalistes

Le BIA sert également de fondation pour établir des objectifs de reprise cohérents avec les besoins réels de l’organisation. Deux concepts reviennent alors régulièrement dans les discussions : le Recovery Time Objective (RTO) et le Recovery Point Objective (RPO).

Le RTO représente le délai maximal acceptable avant le rétablissement d’un service après une interruption. Naturellement, les unités d’affaires souhaitent souvent des délais extrêmement courts. Toutefois, atteindre ces objectifs exige parfois des investissements importants en infrastructure, en redondance et en automatisation. La question devient alors moins technique que stratégique : quel niveau de service est réellement nécessaire pour soutenir l’activité?

Le RPO, pour sa part, détermine la quantité de données qu’une organisation est prête à perdre lors d’un incident. Là encore, les attentes initiales peuvent être élevées. Pourtant, maintenir des mécanismes permettant de ne perdre aucune donnée représente un coût et une complexité considérables. L’objectif consiste donc à trouver un équilibre entre les besoins d’affaires et les moyens que l’organisation est prête à investir pour les atteindre.

Cette réflexion rappelle une réalité importante : la continuité n’est pas seulement un sujet technologique. Elle implique des choix d’affaires, des compromis et une compréhension commune des risques acceptables.

La continuité des activités passe désormais par les TI

L’expérience d’Énergir illustre également un phénomène observé dans la majorité des organisations modernes : les technologies ne sont plus simplement un service de soutien. Elles font désormais partie intégrante de la capacité de l’entreprise à livrer ses produits, ses services et ses opérations quotidiennes.

À mesure que les processus se numérisent, la frontière entre la technologie et les activités d’affaires devient de plus en plus floue. Une interruption informatique ne représente plus uniquement un problème technique. Elle peut rapidement devenir un enjeu opérationnel, financier ou même réputationnel. Cette évolution explique pourquoi la continuité TI occupe aujourd’hui une place centrale dans les stratégies de résilience organisationnelle.

Dans ce contexte, la question n’est plus seulement de savoir comment restaurer un serveur ou une application. Il faut comprendre quelles activités sont soutenues par ces systèmes, quelles dépendances existent entre eux et quels impacts leur indisponibilité pourrait provoquer à l’échelle de l’organisation.

Prioriser avant que la crise ne survienne

La principale leçon présentée lors de cette conférence est peut-être la plus simple : les priorités doivent être établies avant l’incident. Lorsqu’une organisation considère que tous ses systèmes sont également critiques, elle ne possède en réalité aucun véritable ordre de priorité. Les équipes sont alors contraintes de prendre des décisions complexes au moment même où elles subissent le plus de pression.

Une démarche structurée de continuité permet au contraire d’évaluer les impacts réels, de comprendre les dépendances et de définir des objectifs de reprise alignés sur les besoins de l’organisation. Les investissements en résilience peuvent ainsi être concentrés là où ils produiront le plus de valeur, tandis que les équipes disposent d’un cadre clair pour guider leurs décisions lorsqu’une interruption survient.

La continuité TI ne consiste donc pas seulement à restaurer des systèmes après une panne. Elle permet de créer un lien entre les activités de l’entreprise, les technologies qui les soutiennent et les décisions qui devront être prises lorsqu’une partie de cet environnement devient indisponible.

Ce qu’il faut retenir

• Lorsque tout est considéré critique, établir des priorités devient pratiquement impossible.
• Le BIA permet d’évaluer les impacts réels d’une interruption plutôt que de s’appuyer sur des perceptions.
• Les objectifs de reprise doivent être déterminés en fonction des besoins d’affaires et non uniquement des possibilités technologiques.
• La transformation numérique rend la continuité TI indissociable de la continuité des activités.
• Les décisions les plus importantes doivent être prises avant qu’un incident ne survienne.

Source du contenu

Cet article s’inspire de la conférence « Continuité TI : comment prioriser les systèmes quand tout semble critique? » présentée lors du Sommet Comitti.

Conférenciers

• Martin Laberge, responsable de la cybersécurité, de la gouvernance et des services TI, Énergir
• Marie-Hélène Primeau, Première directrice, Services-conseils, Premier Continuum

Organisations

• Énergir
• Premier Continuum

Le contenu a été adapté et synthétisé par Comitti afin d’en faciliter la consultation.