Dossier Sécurité : 7 préceptes anti-sinistres (1/2)

Cela ne signifie pas que les sinistres d’origine naturelle ou humaine soient plus fréquents que par le passé. En fait, il n’existe pas de données actuarielles concernant ce type d’élément. Même si plus de 150 années de données ont été collectées sur les phénomènes météorologiques tels que les ouragans, il est, par exemple impossible de savoir si, en 2009, un ouragan se produira près de la localité californienne de Tampa. Les incertitudes politiques et économiques actuelles expliquent largement l’intérêt porté à la planification de reprise après sinistre. En ces temps troublés, il est tout à fait naturel d’assister à une augmentation des plans de reprise des activités après sinistre ou, en anglais, DRP (Disaster Recovery Planning).

Le facteur le plus décisif de la planification DRP est peut-être la conformité légale. Bien évidemment, les exigences réglementaires diffèrent d’un secteur d’activité à l’autre, mais la majorité des lois et réglementations imposent aux entreprises de prendre des mesures ciblées visant à identifier certaines données : documents de déclaration auprès des autorités boursières, dossier médical personnel, données personnelles des clients, etc. Ces actifs doivent être conservés sur des durées allant de plusieurs mois à plusieurs décennies, être protégés des divulgations accidentelles ou malveillantes auprès de tiers non autorisés, être copiés de manière fiable et être stockés en toute sécurité afin d’éviter leur perte, peut-être dans un système de protection des données qui représente à peu près 80 pour cent d’une capacité de récupération après sinistre de l’entreprise. Enfin, ces actifs doivent être accessibles dans des délais très courts si la justice vient à l’exiger. Les conséquences d’un manquement à l’obligation de conformité vont du scandale public aux amendes, à des peines de prison pour les instances dirigeantes ou à une procédure coûteuse d’information de chaque client à la suite d’une perte.

Pour les gestionnaires de risques, la planification DRP est une simple composante d’un profil de risque de l’organisation. Toutes les entreprises ne souhaitent pas forcément investir dans des dispositifs de préservation de la continuité, sachant qu’ils ne seront peut-être jamais nécessaires.

Certaines sont prêtes à courir ce risque. Toutefois, lorsque ce type de dispositif est clairement nécessaire, par exemple en vertu de la loi américaine HIPAA (Health Insurance Portability and Accountability Act), les gestionnaires de risques n’auront pas forcément leur mot à dire.