Module · Gestion des risques

Audit de continuité d'activité du SI

Évaluez la capacité de votre SI à assurer la continuité de l'activité : plan de continuité, sécurité, risques, sauvegardes, changements, disponibilité, formation, fournisseurs, documentation et tests.

Pourquoi auditer ce thème ?

Une panne majeure, une cyberattaque ou la défaillance d'un fournisseur peut arrêter l'activité. La continuité ne s'improvise pas : elle repose sur des plans écrits, des sauvegardes restaurables et des exercices réguliers.

Ce que révèle cet audit

• Les sauvegardes jamais testées en restauration
• Les systèmes critiques sans redondance ni plan de reprise
• Les fournisseurs critiques dont la défaillance bloquerait l'activité

Les 24 questions de l'audit

Chaque question se note sur cinq choix : Oui, Plutôt oui, Plutôt non, Pas du tout, Je ne sais pas. L'indication entre parenthèses donne le format d'audit qui pose la question. Voir la méthode de notation.

Plan de continuité des opérations (4 questions)

• Un plan de continuité des opérations (PCO) est-il documenté, accessible à tous les intervenants et mis à jour régulièrement ? audit rapide
• Les rôles et responsabilités sont-ils clairement définis dans le PCO ? audit complet
• Des scénarios de défaillance majeure ont-ils été définis, avec leurs plans d'action ? audit complet
• Le PCO prévoit-il des mesures spécifiques pour les systèmes critiques et des moyens de communication d'urgence ? audit complet

Sécurité des systèmes d'information (2 questions)

• Les accès aux systèmes critiques sont-ils contrôlés et audités, avec une gestion des identités et des accès ? audit approfondi
• Les réseaux et systèmes sont-ils surveillés en continu pour détecter les menaces, avec un protocole de réponse aux incidents ? audit complet

Gestion des risques IT (2 questions)

• Un registre des risques IT est-il maintenu et mis à jour régulièrement ? audit approfondi
• Les risques résiduels sont-ils acceptés formellement, et les résultats communiqués à la direction ? audit complet

Redondance et sauvegarde des données (3 questions)

• Les systèmes critiques sont-ils sauvegardés régulièrement et automatiquement, avec des copies dans un lieu géographiquement distinct ? audit rapide
• Des tests de restauration sont-ils réalisés régulièrement, avec des délais de restauration définis et respectés ? audit rapide
• Des copies hors ligne, protégées contre les accès non autorisés et les rançongiciels, sont-elles conservées ? audit complet

Gestion des changements et des mises à jour (2 questions)

• Les changements sont-ils documentés, approuvés et accompagnés d'une analyse d'impact ? audit complet
• Un plan de retour arrière est-il défini pour chaque changement en production ? audit complet

Disponibilité et performance des systèmes (2 questions)

• Des indicateurs et des niveaux de service (SLA) de disponibilité sont-ils définis et respectés ? audit approfondi
• Les systèmes critiques disposent-ils de configurations redondantes et d'un plan de capacité ? audit complet

Formation et sensibilisation du personnel (2 questions)

• Le personnel clé est-il formé aux procédures de continuité et participe-t-il à des exercices ? audit complet
• Des campagnes de sensibilisation (dont des tests d'hameçonnage) sont-elles menées régulièrement ? audit complet

Fournisseurs et prestataires (2 questions)

• Les contrats avec les fournisseurs critiques comportent-ils des clauses de continuité et des SLA suivis ? audit approfondi
• Les fournisseurs critiques ont-ils des plans de continuité audités, avec des clauses de sortie prévues ? audit complet

Documentation et procédures opérationnelles (2 questions)

• Les procédures opérationnelles et d'urgence sont-elles documentées, versionnées et testées ? audit complet
• Des revues régulières de la documentation sont-elles menées ? audit complet

Tests de continuité et interruptions planifiées (3 questions)

• Des tests de continuité et des exercices de reprise après sinistre sont-ils planifiés et réalisés régulièrement ? audit rapide
• Les résultats des tests sont-ils analysés, présentés à la direction et intégrés aux plans ? audit complet
• Les tests incluent-ils des scénarios variés, dont la panne d'un fournisseur critique et la communication de crise ? audit complet

Dans le framework DYNAMAP SI

Ce thème nourrit la phase « Gestion des risques » du framework. Vous y trouverez la méthode pas à pas et les modèles de livrables correspondants.

Questionnaire d'origine : consulter la page sur dynamap.fr.

Guides sur ce thème

• PCA et PRA : préparer la continuité d'activité du SI — Une panne majeure, une cyberattaque, un incendie chez un hébergeur : la question n'est pas de savoir si un incident grave arrivera, mais si l'organisation saura…