Identifier les dépendances qui conditionnent la continuité du service

Partir du service rendu et de la conséquence d’une interruption

Le premier objet de la carte est une prestation : recevoir une demande urgente, orienter un usager, assurer un rendez-vous ou remettre un document. Le nom d’un logiciel ne décrit pas cette prestation. Un service peut rester ouvert alors que son logiciel de gestion ne fonctionne plus ; il peut aussi afficher une application disponible tout en étant incapable de traiter les demandes parce qu’un partenaire ou une équipe manque.

Chaque activité doit être examinée selon la conséquence de son interruption. Une réservation ordinaire peut parfois être différée ; une demande liée à un délai ou à une situation urgente exige un autre traitement. La priorité dépend de la mission et des personnes concernées. L’expression activité prioritaire désigne ici un choix de continuité à justifier dans le dossier ; elle ne classe pas juridiquement l’organisme comme opérateur essentiel ou entité régulée.

Le responsable décrit le niveau minimal de service acceptable et les fonctions qui peuvent être suspendues. Cette description évite une promesse générale de maintien intégral en toutes circonstances. Elle doit préciser ce qui reste possible, ce qui exige une solution de remplacement et ce qui devient temporairement indisponible. Les usagers et les agents ne doivent pas découvrir ces limites seulement après la perte des outils.

L’article 32 du RGPD impose, dans son champ, des mesures appropriées au risque et vise la capacité de rétablir la disponibilité et l’accès aux données personnelles dans des délais appropriés en cas d’incident. Il ne fixe pas une durée universelle de reprise. Le choix dépend des traitements et des effets sur les personnes. La continuité technique doit donc être reliée aux besoins concrets du service et aux risques identifiés. ^[3]

Cartographier les ressources et les liens critiques

La carte relie chaque activité à ses ressources : personnel, habilitation, poste de travail, réseau, annuaire, application, données et prestataire. Elle signale les ressources communes à plusieurs prestations. Si tous les outils de secours dépendent du même compte d’administration ou de la même messagerie, leur apparente diversité ne protège pas contre une perte commune. La dépendance doit être évaluée au niveau du fonctionnement réel.

Les prestataires figurent dans la carte avec les conditions de contact et d’intervention. Un contrat promettant un rétablissement ne prouve pas que le fournisseur connaît les priorités métiers ni qu’il puisse agir lorsque son propre accès est indisponible. Le service vérifie les engagements, les limites et les moyens d’alerte. Lorsqu’un prestataire traite des données pour son compte, l’article 28 du RGPD encadre également les garanties et l’assistance pertinentes. ^[3]

Les dépendances humaines sont souvent sous-estimées. Une procédure réservée à une personne peut devenir inutilisable en cas d’absence ; une restauration peut échouer si personne ne possède les accès nécessaires. Le projet décrit des relais et les conditions permettant leur intervention. Il évite toutefois de diffuser largement des moyens d’accès sensibles au nom de la continuité. La disponibilité et la confidentialité doivent être traitées ensemble.

L’ANSSI distingue notamment la gouvernance, la défense et la résilience, cette dernière associant modes dégradés et reprise progressive. Cette recommandation soutient une lecture qui dépasse la seule sauvegarde. Le cas développé ensuite applique cette orientation par une méthode propre au service ; il ne présente pas les choix de l’exemple comme des prescriptions techniques universelles de l’agence. ^[2]

Un accueil municipal privé de ses outils

Le cas est fictif. Un service municipal reçoit des demandes de rendez-vous et oriente les habitants vers plusieurs démarches. Une attaque rend indisponibles l’agenda partagé et l’application de suivi. Le téléphone principal fonctionne encore, mais la messagerie habituelle est inaccessible. Les équipes disposent d’une liste imprimée de contacts professionnels actualisée et d’un local pouvant accueillir un premier niveau d’information. Aucun rétablissement immédiat n’est garanti.

La carte montre que trois activités peuvent être dissociées. L’information générale peut continuer à partir de documents publics validés. La réception de certaines demandes peut être organisée dans un registre temporaire limité. Le traitement exigeant l’accès à un dossier individuel doit être différé ou transféré vers un circuit sûr. Le service ne tente pas de reconstruire tous les dossiers à partir de souvenirs, de copies personnelles et de messages reçus sur des comptes privés.

Pour les demandes urgentes, un agent habilité utilise un canal professionnel de secours défini à l’avance. Il vérifie l’identité de l’interlocuteur et transmet seulement les éléments nécessaires. Le registre temporaire contient la demande, le moyen de recontact et la suite donnée, sans collecter une copie complète de toutes les pièces. Les documents sensibles ne sont pas entassés dans un espace commun sous prétexte que l’application habituelle est arrêtée.

La sauvegarde existe, mais sa restauration exige un environnement contrôlé. L’équipe technique explique que remettre immédiatement en service une copie dans le même environnement pourrait réintroduire le problème. La direction distingue alors deux décisions : maintenir une activité minimale et rétablir les outils. Les priorités métier aident à ordonner la reprise, sans imposer aux techniciens une réouverture qu’ils considèrent insuffisamment sûre.

Un prestataire externe fournit l’agenda. Le contrat prévoit un interlocuteur, mais le contact habituel dépend de la messagerie compromise. La carte révèle ce défaut avant l’essai de reprise. Le service conserve donc un moyen professionnel alternatif et une procédure de vérification du correspondant. Le secours est testé sans envoyer de données personnelles inutiles. La disponibilité du contact devient une capacité vérifiée plutôt qu’une ligne oubliée dans un contrat.

Lorsque l’application revient, l’équipe ne copie pas automatiquement tout le registre temporaire. Elle vérifie les demandes déjà traitées, les doublons et les corrections. Les dossiers sont réconciliés par les agents habilités, puis les supports provisoires sont supprimés ou conservés selon les règles pertinentes. La reprise comporte donc un travail de fiabilisation des données. Le retour d’une interface ne signifie pas que le service fonctionne immédiatement comme avant.

Tester la continuité et les garanties des données

Un test utile porte sur une action complète. Les agents doivent retrouver le contact de secours, recevoir une demande fabriquée, décider de sa suite et conserver une trace utilisable. L’exercice vérifie les dépendances cachées : document stocké uniquement sur le réseau arrêté, téléphone non chargé ou responsable de validation absent. Les scénarios restent fictifs et ne nécessitent pas d’exposer des dossiers réels pour démontrer l’organisation.

Le test de restauration vérifie la disponibilité des sauvegardes, leur intégrité et la capacité à les utiliser dans les conditions prévues. L’article 32 vise aussi une procédure de test et d’évaluation régulière de l’efficacité des mesures. Cette exigence ne signifie pas qu’une fréquence unique s’applique à tous les organismes. Le responsable détermine des contrôles cohérents avec le risque et les changements, puis conserve leurs résultats et les corrections nécessaires. ^[3]

Le mode dégradé doit respecter les droits et les nécessités de protection. Un fichier temporaire peut faciliter la continuité tout en créant une duplication excessive ou un accès trop large. L’article 24 impose des mesures et leur réexamen, tandis que les exigences de sécurité demeurent applicables. Le service doit donc prévoir les accès, la durée et le traitement des supports provisoires dès leur création, plutôt qu’après plusieurs semaines d’utilisation. ^[3]

L’objection est économique : multiplier les ressources de secours coûte du temps et des moyens. La réponse proportionnée consiste à protéger d’abord les dépendances dont la rupture aurait les conséquences les plus importantes. Un secours peut être simple si l’activité le permet. Il doit cependant être réellement indépendant du point de défaillance considéré. Une deuxième application inaccessible avec le même compte ne constitue pas nécessairement une seconde capacité.

Une interruption peut également révéler une violation de données. Le service distingue cette qualification du rétablissement de l’activité. L’indisponibilité, la destruction, l’altération ou un accès non autorisé doivent être examinés à partir des faits ; la présence d’une sauvegarde ne prouve pas l’absence d’atteinte aux droits. Les articles 33 et 34 organisent des décisions de notification et d’information selon des seuils différents. Le dossier de continuité indique donc qui recueille les éléments et qui participe à cette appréciation, sans attendre la fin de la restauration pour traiter la question. Ce circuit évite de confondre un service redevenu disponible avec un incident entièrement clos. ^[3]

Une continuité se décide sur un périmètre réaliste

La préparation de crise recommandée par l’ANSSI associe dimensions stratégiques et opérationnelles. Le dossier pratique traduit cette articulation en responsabilités : les autorités décident du niveau de service, les experts évaluent la reprise et les personnes habilitées mettent en œuvre le fonctionnement temporaire. Les équipes savent ainsi à qui soumettre une difficulté et qui peut autoriser un changement de priorité. ^[1]

La réponse à la question initiale est de suivre les dépendances à partir des prestations. Dans le cas municipal, l’information générale continue, les demandes urgentes utilisent un circuit limité et la reprise des dossiers attend un environnement maîtrisé. Cette organisation conserve un service utile sans annoncer une continuité intégrale impossible à démontrer. La carte devient un outil de décision lorsque chaque dépendance critique possède un relais, une limite et une vérification.