02 / Conformité et certification
ISO 22301, pour le jour où tout s'éteint
Nous vous aidons à bâtir un système de management de la continuité d'activité qui sait ce qui doit continuer, en combien de temps cela doit revenir, et qui fait quoi quand ce n'est pas le cas.
Présentation
Ce que l'ISO 22301 vous demande
L'ISO 22301 est la norme internationale des systèmes de management de la continuité d'activité (SMCA). Elle vous demande de savoir quelles activités comptent le plus, combien de temps vous pouvez vous en passer, puis de préparer, d'exercer et d'améliorer les dispositions qui les rétablissent.
Le bilan d'impact sur l'activité et l'appréciation des risques orientent tout le reste. Nous les menons avec ceux qui font tourner les processus, pour que les objectifs de reprise reflètent l'exploitation et non une estimation faite en salle de réunion. Les plans sont ensuite exercés, car un plan que personne n'a essayé reste une hypothèse.
Le certificat est délivré par un organisme de certification accrédité. Black Fox vous prépare, mène les exercices avec vous, coordonne l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, et vous accompagne pendant celui-ci si vous le souhaitez.
À qui s'adresse ce service
Les organisations dont les clients ou les autorités demandent des preuves de continuité d'activité, les fournisseurs de services dont d'autres dépendent, et les équipes dont les plans de reprise n'ont jamais été testés. La norme s'articule bien avec un SMSI ISO/IEC 27001 et appuie les obligations de résilience opérationnelle, par exemple celles de DORA.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Périmètre et contexte
Nous définissons les produits, services et sites couverts par le SMCA, et les parties qui en dépendent.
Bilan d'impact sur l'activité
Activités prioritaires, dépendances et objectifs de reprise, validés avec leurs responsables.
Appréciation des risques
Un examen des perturbations les plus susceptibles d'arrêter ces activités, entre autres l'informatique, les fournisseurs, le personnel et les locaux.
Stratégies et plans
Des stratégies de continuité et de reprise à votre portée, traduites en plans qui nomment les personnes, les étapes et les contacts.
Exercices
Exercices sur table et exercices pratiques, du simple déroulé au test de reprise technique, avec des enseignements consignés et suivis.
Audit interne et revue
Un audit interne du SMCA et une revue de direction qui produit des décisions.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des interlocuteurs et de l'échéance, et signons d'abord un accord de confidentialité si vous le souhaitez.
Analyse d'écarts
Entretiens et revue documentaire au regard de la norme, avec à la clé un rapport priorisé.
Analyse et planification
Bilan d'impact, appréciation des risques, stratégies et plans, construits avec vos responsables de processus.
Exercice
Nous exerçons les plans et transformons ce qui casse en améliorations.
Audit interne
Un audit interne complet au regard de la norme, avec des non-conformités que vous pouvez encore corriger.
Audit de certification
Nous coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou l'organisme accrédité de votre choix, vous aidons à vous préparer et à traiter les éventuels constats.
Ce que vous recevez
- Déclaration de périmètre du SMCA et analyse du contexte
- Bilan d'impact sur l'activité avec objectifs de reprise
- Appréciation des risques de perturbation et plan de traitement
- Plans de continuité et de reprise d'activité
- Comptes rendus d'exercice et enseignements
- Rapport d'audit interne et éléments pour la revue de direction
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
La continuité d'activité, est-ce la même chose que la reprise après sinistre ?
Non. La reprise après sinistre rétablit les systèmes informatiques. La continuité d'activité maintient les activités essentielles, ce qui inclut le personnel, les locaux, les fournisseurs et la communication autant que l'informatique. L'ISO 22301 couvre l'ensemble.
Délivrez-vous le certificat ISO 22301 ?
Non. Les certificats sont délivrés par des organismes de certification accrédités, indépendants de ceux qui vous ont accompagné. Nous vous préparons, coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou un organisme de votre choix et vous soutenons pendant celui-ci, pour que vous alliez de la préparation au certificat dans une seule mission.
Peut-elle partager un système de management avec l'ISO/IEC 27001 ?
Oui. Les deux suivent la structure commune qu'utilise l'ISO pour ses normes de systèmes de management. Périmètre, maîtrise documentaire, audit interne et revue de direction peuvent être mutualisés.
À quelle fréquence faut-il s'exercer ?
La norme attend des exercices à intervalles planifiés et après des changements importants. La fréquence dépend de vos risques et de vos plans. Nous vous aidons à fixer un programme que vous pourrez réellement tenir.
Services associés
- Gouvernance et risquesContinuité d'activité et reprise après sinistrePCA et PRA avec Black Fox Security : bilan d'impact sur l'activité, plans de continuité et de reprise, tests de sauvegarde et de restauration, exercices sur table.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conformité et certificationDORADORA avec Black Fox Security : écarts de gestion du risque lié aux TIC, notification d'incidents, tests de résilience opérationnelle et prestataires tiers.
- Conseil et réponseInvestigation numérique et réponse à incidentForensique et réponse à incident par Black Fox Security : analyse post-incident, réseau et stockage, rétro-ingénierie, récupération de données, exercices.
Sachez ce qui s'arrête quand quelque chose s'arrête
Dites-nous ce dont votre activité ne peut pas se passer. Nous vous aiderons à établir combien de temps cela peut durer et ce qui le rétablit.