Sauvegarde et continuité d'activité pour les PME suisses : comment établir le plan

Pourquoi la sauvegarde et la continuité d'activité forment le même filet de sécurité

Lundi matin, 7.30 : la production tourne à plein régime. Puis les machines s'arrêtent : installation sans courant, serveurs hors service, systèmes de refroidissement à l'arrêt. MTF Solutions utilise ce scénario pour expliquer à quoi sert la gestion de la continuité d'activité.

Les scénarios de menace sont toujours plus diversifiés : cyberattaques ciblées, catastrophes naturelles, ruptures soudaines de la chaîne d'approvisionnement. Une seule attaque par rançongiciel peut paralyser toute une entreprise.

Sauvegarde et continuité d'activité ne sont pas la même chose, mais elles forment un seul et même filet de sécurité. La sauvegarde protège les données. La continuité d'activité est la capacité à continuer à fournir ses services malgré des pannes de serveurs, des coupures de courant, des cyberattaques ou des catastrophes naturelles.

Zurich rappelle que, lorsque l'informatique tombe en panne, la plupart des entreprises s'arrêtent. Selon l'étude Sophos « The State of Ransomware 2023 » citée par Zurich, une interruption d'exploitation coûte en moyenne 1,85 million de dollars.

À ce montant s'ajoutent la perte de réputation et de confiance. Des temps d'arrêt prolongés peuvent menacer l'existence d'une PME.

Pour la PME suisse, il y a aussi une dimension commerciale. Clients et partenaires attendent une capacité de livraison même en situation de crise, écrit MTF Solutions. Un plan de continuité bien conçu devient ainsi un gage de qualité.

De nombreuses PME repoussent les mesures de continuité nécessaires et ne disposent pas d'approches structurées. Les grandes entreprises ont en règle générale des stratégies BCM complètes.

Le plan se construit dans un ordre précis : inventaire, analyse des risques, mesures de sauvegarde, stratégie de restauration, rôles, documentation, tests, checklist. Zurich décrit le Business Continuity Plan comme un parcours en six étapes ; la première consiste à identifier et évaluer les risques.

Étapes fondamentales du Business Continuity Plan (BCP)

Coûts et impact d'une interruption pour les PME suisses

Inventaire IT et processus critiques : par où commencer

La première étape est l'inventaire de l'infrastructure IT. Il met en évidence les points faibles et constitue la base d'une stratégie tournée vers l'avenir.

La directive NIS2 place elle aussi les PME suisses devant le défi d'adapter leurs stratégies de cybersécurité. L'occasion est de rendre le système informatique plus résilient et plus efficace, et pas seulement de satisfaire aux nouvelles exigences.

Un inventaire professionnel va au-delà du simple recensement : il prend en compte l'architecture réseau, les configurations système et les processus métier. La directive NIS2, rappelle MTF Solutions, définit dix domaines principaux et interconnectés pour un inventaire conforme, dont l'analyse des risques et les concepts de sécurité. L'analyse n'est pas un processus ponctuel, mais la base d'améliorations continues.

Les dix domaines sont interconnectés et complémentaires : cette structure aide à ne pas négliger d'aspects importants et à tirer parti des synergies entre les différents domaines. Parmi les domaines cités figurent la révision des politiques de sécurité existantes, pour les mettre à jour, et l'intégration des nouveaux risques.

L'inventaire doit être relié à la liste des processus critiques, ceux qui sont cruciaux pour la survie de l'entreprise, de la chaîne d'approvisionnement au service à la clientèle. Leur identification est la première des quatre composantes fondamentales d'un plan de continuité indiquées par Zurich, avec l'évaluation des risques, la stratégie de restauration et la cybersécurité.

MTF Solutions donne un exemple sectoriel. Les entreprises manufacturières doivent garantir des chaînes d'approvisionnement stables ; les fournisseurs de services financiers doivent protéger leur infrastructure IT contre les cyberattaques.

Si les systèmes traitent des données personnelles, l'inventaire doit aussi cartographier ces dernières. La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, ne couvre que les données des personnes physiques et non plus celles des personnes morales.

La nLPD classe les données génétiques et biométriques parmi les données sensibles et introduit les principes de « Privacy by Design » et « Privacy by Default ». Concrètement, cela signifie configurer logiciels, matériel et services de manière à ce qu'ils protègent les données et respectent la vie privée des utilisateurs dès leur mise en circulation, avec des mesures activées automatiquement.

Appliqué à la sauvegarde, ce principe concerne le choix des systèmes, le chiffrement et les paramètres d'accès par défaut.

La nLPD est entrée en vigueur le 1er septembre 2023, en même temps que la nouvelle ordonnance sur la protection des données (OPDo) et la nouvelle ordonnance sur les certifications en matière de protection des données (OCPD). Pour les entreprises, elle introduit huit changements principaux.

Par décision du 17 avril 2026, définitive après l'expiration du délai de recours, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a sanctionné Cream della Cream et Philipp Plein pour le marketing direct et le droit d'opposition.

Analyse des risques et scénarios de menace

L'analyse de la situation des menaces répond à une question simple : quels facteurs pourraient mettre en péril l'activité de l'entreprise ? MTF Solutions énumère les influences externes, des cyberattaques aux catastrophes naturelles jusqu'aux risques géopolitiques.

Zurich y ajoute les problèmes techniques, soit les pannes non intentionnelles. Elle rappelle que l'évaluation des risques sert à analyser les menaces possibles et leurs conséquences.

Pour une PME, la méthode utile consiste à partir des processus critiques, et non de la technologie. Pour chacun, on énumère les scénarios susceptibles de l'interrompre. On évalue l'impact d'un arrêt de durée croissante (une heure, un jour, une semaine) et on fixe les priorités.

C'est de là que découlent les mesures de prévention. Des mesures ciblées permettent d'identifier les menaces et de les réduire au minimum à un stade précoce. Le diagnostic précoce est la clé pour éviter qu'un risque ne devienne une crise.

L'analyse doit être refaite lorsque l'infrastructure, les fournisseurs, les processus ou le contexte externe changent, car ce qui était un risque négligeable peut devenir critique. Une attaque réussie chez un fournisseur ou un client important constitue, pour la PME, un risque de continuité tout autant qu'une panne interne.

Sauvegarde à l'épreuve des rançongiciels : règles organisationnelles et techniques

Le catalogue de mesures élaboré par Swiss Cyber Defence DNA, présenté par l'association SVV, consacre sa première mesure à la protection des données non modifiables, soit à la sauvegarde en lecture seule. Il distingue les mesures organisationnelles des mesures techniques.

Dans le catalogue SVV, cette rubrique est la mesure n° 1 : « Protection des données à jour et non modifiables / sauvegarde en lecture seule ». Il s'agit de la première des six mesures.

Sur le plan organisationnel, il faut désigner la personne responsable de la mise en œuvre et celle responsable de la révision. Il faut aussi établir qui peut accéder aux données, le stockage externe de la sauvegarde et la durée de conservation, dans le respect des dispositions légales. Il faut garantir qu'aucun tiers n'a accès à ses propres données.

Sur le plan technique, le catalogue recommande d'établir un processus de sauvegarde automatisé et en lecture seule. La sauvegarde doit impérativement être chiffrée. Le support de sauvegarde doit être déconnecté du réseau et archivé hors ligne. Il faut s'appuyer sur des entreprises spécialisées comptant de nombreuses années d'expérience et vérifier quels logiciels peuvent être utilisés pour récupérer ses données.

La combinaison de l'automatisation et d'un support hors ligne rend la sauvegarde inutilisable pour un attaquant qui aurait compromis le réseau. Le test de récupération fait partie intégrante de la mesure : Swiss Cyber Defence DNA recommande de tester régulièrement la récupération des données deux fois par an. Une copie jamais restaurée n'est qu'une hypothèse. Le test vérifie les délais, les compétences nécessaires et l'intégrité effective des données.

Stratégie de restauration : redondance, cloud et site alternatif

La stratégie de restauration détermine comment reprendre l'activité opérationnelle le plus rapidement possible. Zurich donne deux exemples concrets : un système IT redondant ou un second site. Le choix dépend des processus critiques à réactiver en premier et de la durée pendant laquelle l'entreprise peut supporter un arrêt.

Sur le plan technique, les solutions de continuité combinent des systèmes de sauvegarde automatiques avec des technologies de restauration rapide, sauvegarde on-premise et dans le cloud, des serveurs cloud redondants, des pare-feu et une surveillance constante de l'infrastructure. La surveillance en temps réel sert à identifier les anomalies avant qu'elles ne deviennent des pannes. S'y ajoutent l'assistance proactive, le support à distance et des solutions cloud évolutives, selon l'approche décrite par le fournisseur IT suisse dpstudio.

Pour chaque processus critique, il convient de fixer par écrit deux objectifs : dans quel délai il doit redevenir disponible et quelle quantité de données on peut accepter de perdre. De ces objectifs découlent la fréquence des sauvegardes, le choix entre redondance interne et site alternatif, et le recours à un support spécialisé externe lorsque l'entreprise ne dispose pas des compétences en interne.

Sauvegarde on-premise vs cloud : avantages et inconvénients

La cybersécurité de base au sein du plan

Zurich intègre la cybersécurité parmi les composantes du plan de continuité. Elle cite comme mesures préventives les sauvegardes régulières, les correctifs et mises à jour logicielles ainsi que la formation des collaborateurs et des collaboratrices.

Les six mesures de Swiss Cyber Defence DNA présentées par SVV couvrent le même domaine de manière plus détaillée. Elles tiennent compte à parts égales de l'organisation et de la technologie. Elles sont considérées comme une best practice pour atteindre un bon degré de maturité cyber.

La mesure relative aux logiciels malveillants est la mesure n° 2 du catalogue. Elle suit la mesure n° 1, consacrée à la protection des données non modifiables et à la sauvegarde en lecture seule.

La mesure consacrée à la protection contre les logiciels malveillants exige, sur le plan organisationnel, de désigner une personne responsable de la mise à jour continue de l'antivirus. Il faut définir, dans le programme de messagerie, quelles données potentiellement dangereuses seront bloquées. Les collaborateurs doivent être sensibilisés et formés, avec des formations dédiées à la gestion des e-mails, des pages web et des mots de passe. Le contrôle des accès, soit la définition de qui peut accéder aux données, fait partie des mesures organisationnelles du catalogue.

Ces mesures ont aussi une portée pratique : selon SVV, certaines d'entre elles sont en règle générale une condition pour la conclusion d'une assurance cyber. La liste, précise la source, ne représente pas des exigences minimales contractuelles, mais une liste de contrôle. Elle doit être discutée avec les assureurs, agents, intermédiaires ou fournisseurs de services IT et mise en œuvre de manière adaptée à ses propres besoins.

Documenter les rôles, les procédures et les contacts de crise

Le plan de continuité d'activité (Business Continuity Planning, BCP) contient, selon le Contrôle fédéral des finances (CDF), les réglementations et les documents nécessaires pour rétablir rapidement la normalité. Sans cette documentation, les décisions en situation d'urgence dépendent de la mémoire et de la disponibilité des personnes. MTF Solutions souligne qu'un BCP bien conçu garantit que tous les acteurs concernés savent exactement ce qu'ils doivent faire.

Le contenu minimal comprend les processus critiques avec leur ordre de réactivation et les procédures de restauration étape par étape, y compris qui les exécute et avec quels outils. Il comprend aussi les noms et les coordonnées des responsables internes et les contacts des partenaires externes : fournisseur IT, assureur, éventuel consultant. Il doit indiquer la liste des personnes autorisées à prendre des décisions.

Swiss Cyber Defence DNA demande explicitement de désigner tant la personne responsable de la mise en œuvre que celle responsable de la révision, avec leurs tâches formalisées. Le document doit rester disponible même sans accès au réseau de l'entreprise. Si l'infrastructure est compromise, un plan enregistré uniquement sur le serveur reste inaccessible.

Tests, exercices et mise à jour continue

Un plan non testé n'est qu'une déclaration d'intention. Swiss Cyber Defence DNA recommande de tester régulièrement la récupération des données deux fois par an et de confier la révision à une personne désignée.

Au test technique de restauration s'ajoutent les exercices sur scénario. Simuler une coupure de courant prolongée, une panne de serveur ou une attaque par rançongiciel permet de vérifier les délais réels, la chaîne de communication et les points où le plan coince.

L'analyse du paysage IT n'est pas non plus un processus ponctuel, mais la base d'améliorations continues. C'est le principe que MTF Solutions applique à l'inventaire IT conforme à la directive NIS2.

Il en va de même pour le BCP : les lacunes apparues lors des tests doivent être corrigées et documentées. Il faut indiquer qui a la tâche de combler chaque lacune.

La mise à jour du plan doit être liée à des événements concrets. Parmi ceux-ci : nouvelles applications ou services cloud, changement de fournisseur IT, nouveaux processus ou sites, changements dans le personnel clé, nouvelles formes de menace.

Un plan qui ne correspond plus à l'infrastructure réelle est pire que pas de plan du tout. Il suscite des attentes de rétablissement qui ne correspondent pas à la réalité.

Checklist opérationnelle pour la PME suisse

Inventaire IT complet du réseau, des systèmes, des applications et des processus métier. Il doit suivre les dix domaines indiqués pour un inventaire conforme à la directive NIS2. Il faut indiquer où résident les données personnelles, dans le respect de la nLPD et des principes de Privacy by Design et Privacy by Default.

Pour l'inventaire, les dix domaines NIS2 sont interconnectés et complémentaires. Parmi ceux cités figurent la révision des politiques de sécurité existantes et l'intégration des nouveaux risques.

Liste des processus critiques, de la chaîne d'approvisionnement au service à la clientèle. Analyse des risques par processus, avec des scénarios internes (pannes techniques) et externes (cyberattaques, catastrophes naturelles, risques géopolitiques, ruptures de la chaîne d'approvisionnement) et l'impact correspondant.

Sauvegarde automatisée, chiffrée, en lecture seule, avec support déconnecté du réseau et archivé hors ligne. Responsables de la mise en œuvre et de la révision désignés, accès limités et durée de conservation définie dans le respect des dispositions légales. Test de récupération des données au moins deux fois par an.

Stratégie de restauration écrite, avec système IT redondant ou second site, sauvegarde on-premise et cloud, surveillance continue et support spécialisé. Mesures de sécurité de base : antimalware à jour, correctifs et mises à jour, blocage des contenus dangereux dans la messagerie, formation des collaborateurs aux e-mails, aux pages web et aux mots de passe, contrôle des accès.

Documentation du plan : procédures de restauration, rôles, contacts internes et externes, disponibilité du plan même hors ligne. Révision périodique avec exercices, correction des lacunes et mise à jour lors de changements d'infrastructure, de nouvelles menaces ou de modifications des processus. Vérification préalable, avec son assureur ou intermédiaire, des mesures exigées pour une couverture cyber.

Checklist opérationnelle pour la PME suisse