RISQUES & MÉTHODES · RESSOURCE GRATUITE
Maîtriser les risques du SI
Habilitations, sauvegardes et continuité expliquées par les usages.
01 / 07 · Le SI soutient une activité
Partir du service rendu
Identifier les services prioritaires, leurs utilisateurs et les données nécessaires. Décrire les conséquences d'une indisponibilité ou d'une erreur. Cette analyse permet de choisir des protections adaptées et de discuter les compromis avec les métiers.
Pour la prise de commandes, préciser combien de temps l'activité peut fonctionner en mode manuel et avec quelles limites.
02 / 07 · Le besoin avant le profil
Attribuer les droits avec précision
Construire des rôles cohérents avec les tâches. Éviter les droits étendus par facilité et traiter explicitement les incompatibilités. Chaque accès possède un motif, une validation et une durée adaptée à son usage.
Un droit temporaire pour remplacer un collègue doit être retiré à la fin du remplacement.
03 / 07 · Arrivée · mobilité · départ
Suivre les changements de fonction
Les droits deviennent rapidement obsolètes si les mouvements de personnel ne déclenchent pas d'action. Relier les informations RH aux responsables d'applications et vérifier le résultat. Une revue périodique complète ce dispositif sans remplacer le traitement des événements.
Une mobilité vers le service commercial doit déclencher l'examen des anciens droits de validation comptable.
04 / 07 · La copie doit rester utilisable
Protéger la capacité de récupération
Définir ce qui est sauvegardé, à quelle fréquence et dans quelles conditions de protection. Prendre en compte la compromission du système de production et les dépendances techniques. Une copie accessible avec les mêmes comptes compromis peut être exposée au même incident.
Prévoir une copie isolée selon l'architecture retenue et tester l'accès aux moyens de restauration.
05 / 07 · Deux questions métier
Distinguer RTO et RPO
Le RTO répond à la question du délai de rétablissement. Le RPO répond à celle de la perte de données acceptable en durée. Définir les deux cibles avant de choisir une solution technique et vérifier leur compatibilité avec le processus réel.
Une copie récente mais très longue à restaurer peut respecter le RPO tout en manquant le RTO.
06 / 07 · Au-delà du message de succès
Tester de bout en bout
Un test de reprise inclut les données, les applications, les accès et la validation métier. Mesurer le temps réellement nécessaire et vérifier que le service peut être utilisé. Consigner les erreurs, les manipulations imprévues et les dépendances oubliées.
Après restauration, un utilisateur habilité crée une commande et vérifie sa présence dans le traitement suivant.
07 / 07 · Le contrat et la preuve
Piloter les dépendances externes
Définir les engagements du prestataire, les responsabilités internes et les conditions de sortie. Identifier les preuves de sauvegarde et de reprise disponibles. Préparer les contacts, les décisions et les moyens nécessaires en cas d'incident, même lorsque l'infrastructure est externalisée.
Un engagement de disponibilité ne décrit pas forcément la perte de données acceptable ni les modalités de récupération.