Guide sur la résilience des infrastructures critiques

Une panne électrique interrompant une chaîne de production, une attaque par ransomware rendant indisponibles des systèmes OT, l’inondation d’un centre logistique ou la perte d’un fournisseur essentiel ne sont pas des événements isolés. Pour les organisations qui fournissent des services essentiels ou qui dépendent d’actifs stratégiques, un guide sur la résilience des infrastructures critiques doit traduire des scénarios complexes en décisions vérifiables : quelles fonctions protéger, dans quels délais les rétablir, avec quelles ressources et sous quelle responsabilité.

La résilience ne se résume pas à la seule capacité à résister à un incident. Il s’agit de la capacité organisationnelle à anticiper les menaces, à en absorber l’impact, à maintenir les activités prioritaires, à se rétablir de manière contrôlée et à tirer les leçons de l’événement. Elle nécessite donc une intégration entre la gouvernance, la gestion des risques, la continuité des activités, la reprise après sinistre, la cyber-résilience, la sécurité physique et l’ingénierie des risques.

Pourquoi les infrastructures critiques nécessitent-elles une approche spécifique ?

Une infrastructure critique fonctionne dans un contexte de dépendances techniques, territoriales et de chaîne d’approvisionnement qui amplifient les conséquences d’une interruption. L’énergie, les transports, l’eau, la santé, les télécommunications, les centres de données, la production industrielle et la logistique partagent une caractéristique commune : toute perturbation peut se répercuter rapidement sur les clients, les citoyens, les partenaires et d’autres opérateurs essentiels.

La disponibilité d’un composant isolé ne garantit pas la résilience de l’ensemble du service. Un groupe électrogène peut assurer le fonctionnement d’un site, mais il ne résout pas le manque de personnel qualifié, l’indisponibilité de la connexion au réseau, la dépendance vis-à-vis d’un système cloud ou le blocage d’un sous-traitant. De même, la remise en service d’un serveur ne garantit pas la reprise d’un processus si les données, les autorisations, les procédures opérationnelles et les fournisseurs ne sont pas disponibles dans le même délai.

C’est pourquoi la planification doit partir des services critiques et non de la liste des technologies dont vous disposez. La question centrale n’est pas seulement « qu’est-ce qui peut tomber en panne ? », mais « quelle conséquence deviendrait inacceptable si ce service restait indisponible ? ». La réponse varie en fonction du secteur, des obligations réglementaires, de la tolérance au risque, des conditions contractuelles et de l’exposition en matière d’assurance.

Guide sur la résilience des infrastructures critiques : les piliers

Une gouvernance assortie de responsabilités clairement définies

La résilience ne peut être confiée exclusivement au service informatique, au service de sécurité ou au service HSE. La direction doit définir l’appétit pour le risque, les seuils d’indisponibilité acceptables, les priorités d’investissement et les critères d’escalade. Au niveau opérationnel, il convient d’attribuer des responsabilités claires en matière d’analyse, de plans, de maintenance des mesures de continuité, d’exercices et de gestion des crises.

Une gouvernance efficace définit également la manière de résoudre les conflits entre la sécurité, la production, la qualité et les délais de rétablissement. Dans une installation industrielle, par exemple, le redémarrage rapide d’un système de contrôle peut s’avérer inapproprié si les conditions de processus, l’intégrité des configurations et la sécurité des opérateurs n’ont pas été vérifiées. La rapidité de la reprise doit rester subordonnée à la maîtrise des risques.

Analyse d’impact et scénarios interdépendants

L’analyse d’impact sur l’activité identifie les processus, les ressources, les dépendances et les répercussions découlant d’une interruption. Pour chaque activité prioritaire, l’organisation devrait définir des objectifs en matière de délai de reprise, de tolérance maximale à la perte de données, de niveaux de service minimaux et de conséquences progressives de l’indisponibilité.

Dans les infrastructures critiques, l’analyse d’impact sur les activités (BIA) doit être étendue aux dépendances réciproques. Il est nécessaire de prendre en compte au moins la disponibilité énergétique, la connectivité, les systèmes OT et IT, les sites de secours, les personnes clés, les stocks, les chaînes d’approvisionnement et les services fournis par des tiers. Un scénario plausible touche rarement un seul actif : un événement météorologique extrême, par exemple, peut compromettre simultanément l’accessibilité du site, le réseau électrique, les télécommunications et la capacité des fournisseurs à respecter les SLA.

L’analyse par scénarios ne sert pas à prévoir chaque événement pris individuellement. Elle sert à vérifier si les capacités mises en place sont adaptées à des familles d’incidents ayant des effets comparables : indisponibilité prolongée du site, perte de plateformes numériques, cyberattaque, manque de personnel, interruption des services publics ou défaillance d’un fournisseur essentiel.

Architectures de continuité conçues et entretenues

La résilience technique nécessite des redondances, une segmentation, des sauvegardes sécurisées, des capacités de basculement, des systèmes de communication alternatifs et des procédures de reprise documentées. Cependant, la redondance n’est pas automatiquement efficace. Deux équipements situés dans le même local, alimentés par la même source ou gérés par le même fournisseur, présentent un point de vulnérabilité commun.

Il convient de distinguer la haute disponibilité de la reprise après sinistre. La première vise à réduire ou à éviter l’interruption locale des composants et des services. La seconde intervient lorsque l’incident dépasse les capacités habituelles et nécessite une restauration dans un environnement alternatif ou à partir de copies de sauvegarde. Ces deux mesures sont nécessaires, mais elles doivent être adaptées au niveau de criticité réel : appliquer les mêmes objectifs à tous les systèmes engendre des coûts injustifiés et fausse les priorités.

Dans le contexte OT, cette approche nécessite des précautions supplémentaires. Les correctifs, les mises à jour, l’isolation du réseau et les procédures de reprise doivent respecter les contraintes liées à la sécurité fonctionnelle, à la compatibilité entre fournisseurs et à la continuité du processus physique. Les décisions ne peuvent pas être transposées automatiquement à partir des modèles informatiques traditionnels.

Les personnes, la crise et la communication opérationnelle

Les plans ne fonctionnent que si les personnes savent quand les mettre en œuvre, avec quelles compétences et par quels canaux. Une structure de gestion de crise doit prévoir des remplaçants, des astreintes, des critères de mobilisation, la consignation des décisions et une communication coordonnée avec les parties prenantes internes, les autorités, les clients, les fournisseurs et les assureurs, le cas échéant.

La communication de crise n’est pas un exercice de gestion de la réputation distinct des opérations. Des informations incomplètes ou des messages contradictoires peuvent ralentir le retour à la normale, multiplier les litiges et compromettre la confiance. Il est utile de préparer des messages préliminaires, mais pas de scripts rigides : chaque communication doit être validée au regard des faits disponibles, des obligations applicables et de l’évolution de l’événement.

De la théorie à la pratique : comment vérifier la capacité réelle

Un plan non testé n’est qu’une hypothèse théorique. Les exercices permettent de mesurer l’écart entre la procédure prévue et sa mise en œuvre effective, en mettant en évidence les lacunes concernant les rôles, les coordonnées, les accès, les délais, les interdépendances et les capacités décisionnelles.

Le processus doit être progressif. Les séances de simulation sur table permettent de vérifier les rôles et les logiques décisionnelles ; les simulations fonctionnelles impliquent des équipes spécifiques, telles que l’informatique, les opérations ou la communication ; les tests techniques valident les sauvegardes, la restauration, le basculement et les accès ; les exercices intégrés évaluent la coordination tout au long de la chaîne d’intervention. Un test complet ne doit pas nécessairement entraîner un arrêt risqué de la production : le mode de déroulement dépend du caractère critique du service, des conditions de sécurité et de la maturité de l’organisation.

Chaque exercice doit donner lieu à des constatations : temps enregistrés, décisions prises, écarts par rapport aux procédures, contraintes techniques et mesures correctives, avec désignation d’un responsable et fixation d’une échéance. En l’absence d’un cycle d’amélioration formalisé, le test reste un événement isolé et ne se transforme pas en capacité organisationnelle.

Mesurer la résilience sans la réduire à une simple liste de contrôle

Les indicateurs clés de performance (KPI) pertinents ne se limitent pas au nombre de plans élaborés ou de personnes formées. Les indicateurs qui mesurent la performance et la fiabilité sont plus significatifs : pourcentage de processus critiques couverts par une analyse à jour, respect des objectifs de reprise lors des tests, proportion de fournisseurs critiques évalués, délai de mobilisation de l’équipe de crise, résultat des actions correctives et fréquence de réévaluation des dépendances.

La mesure doit être liée aux décisions d’investissement. Si les tests démontrent que la remise en état d’une plateforme nécessite plus de temps que le seuil défini, la direction doit choisir en toute connaissance de cause d’accepter le risque, de modifier l’objectif ou de financer une mesure supplémentaire. Cette traçabilité est également essentielle dans les relations avec les services d’audit, les assureurs et les courtiers.

Pour les organisations complexes, la mise en conformité avec les normes internationales et le recours à des professionnels qualifiés permettent d’assurer la cohérence du programme, en évitant que la continuité des activités, la cybersécurité et la sécurité physique ne se développent comme des initiatives distinctes. Continuitaly accompagne les organisations précisément dans la transformation des exigences, des évaluations et des formations certifiées en capacités opérationnelles vérifiables.

La question la plus pertinente à poser lors de la prochaine réunion du comité de direction n’est pas de savoir s’il existe un plan d’urgence. Il s’agit plutôt de savoir si l’organisation a démontré, à l’aide de données récentes, qu’elle est en mesure de continuer à fournir ses services essentiels lorsque les conditions d’exploitation deviennent réellement défavorables.

This post is also available in: