Panne de Microsoft 365 : assurer la continuité des opérations lorsque les systèmes environnants tombent en panne

Chez BlackBerry, un principe prime sur tous les autres. Les gouvernements et les opérateurs d’infrastructures critiques doivent pouvoir assurer la continuité de leurs activités face aux attaques, aux pannes et aux crises, sans céder le contrôle à quiconque. 

La panne de Microsoft 365 qui a débuté le 12 novembre en est un nouvel exemple. Cette panne n’a pas seulement perturbé les systèmes d’entreprise. Elle a également mis hors service les systèmes de communication et de coordination d’urgence hors service. Microsoft affirme ne disposer d’aucun indice d’activité malveillante. Cela dit, la cause importe moins que la tendance qui se dessine : lorsque la communication et la coordination reposent toutes deux sur une seule et même plateforme, elles tombent en panne simultanément, souvent au moment où on en a le plus besoin. 

La leçon à retenir est simple : il ne faut pas confier l'ensemble de vos communications à un seul fournisseur. La continuité des opérations repose sur un canal distinct qui continue de fonctionner lorsque votre plateforme principale est hors service, afin que les dirigeants puissent continuer à joindre leurs équipes et à coordonner la réponse en cas de défaillance de la plateforme principale. 

Plan pour le mode dégradé 

De nombreux plans de continuité mettent l'accent sur la rapidité de rétablissement du service. Les plans de continuité des missions doivent également permettre de maintenir les opérations en cours lorsque les systèmes sont hors service, lorsque l'accès au réseau est bloqué, interrompu, intermittent ou limité, quelle qu'en soit la cause. Une panne chez le fournisseur principal crée cette situation au sein même de l'organisation, sans qu'aucun adversaire ne soit impliqué. La question qui se pose dans chaque scénario est la même : lorsque la plateforme sur laquelle vous travaillez tombe en panne, qu'est-ce qui continue de fonctionner ? 

Les plans de secours échouent lorsque la solution de secours repose sur la même plateforme que la solution principale. Si les appels d'urgence, les alertes au personnel, la liste des contacts et les codes d'accès passent tous par un seul et même fournisseur, leplan de secours échoue en même temps que la solution principale.

Pour combler cette lacune, il ne suffit pas d'une simple plateforme de secours. Une solution de repli permettant de maintenir la mission en cours doit répondre à une liste restreinte d'exigences, et chacune d'entre elles doit rester valable tant que la plateforme principale est hors service. 

Ce qu'un plan de continuité des activités doit garantir 

• Les dirigeants doivent disposer d'une identité vérifiée dans le cadre du plan d'urgence. Lorsque les outils officiels tombent en panne, le personnel se tourne vers ses e-mails personnels et des applications grand public, qui ne font l'objet d'aucun contrôle d'identité et ne conservent aucun enregistrement.  

• Les services de communication vocale et de messagerie sécurisés doivent fonctionner sur les serveurs propres à l'organisation ou dans un cloud national. Le système doit également protéger les informations relatives aux échanges entre les différents interlocuteurs, car ces données constituent des renseignements qu'un adversaire pourrait exploiter.

• La solution de secours ne peut pas partager les identifiants de connexion, les outils d'administration ni les appareils avec la solution principale. Si tel est le cas, une seule panne met les deux hors service, y compris les alertes envoyées par e-mail ou via des outils de collaboration. 

• Les alertes doivent être diffusées sur tous les canaux et tous les appareils, et il faut pouvoir savoir qui les a reçues. Le centre de commandement doit savoir qui est en sécurité et coordonner l'intervention en fonction de cette situation. 

• Les déclarations en matière de sécurité doivent être étayées par des preuves émanant d’autorités indépendantes, telles que la certification NIAP selon les Critères communs, l'inscription sur la liste des composants CSfC de la NSA et l'autorisation FedRAMP pour les services cloud. Les utilisateurs situés en dehors des États-Unis doivent demander les certifications applicables dans leur propre juridiction. 

• La coordination nécessite plusieurs voies de communication. Les communications vocales et la messagerie, qui s’adaptent aux différents opérateurs, au Wi-Fi, aux PBX et aux réseaux internationaux, continuent de fonctionner lorsqu’un itinéraire est perturbé, tandis que les systèmes d’alerte sur site ou en mode « air-gapped » continuent de fonctionner au sein de leur enclave lorsque la connectivité vers l’extérieur est interrompue. 

Rien de tout cela n'implique que les organisations doivent abandonner leur plateforme principale, qui est extrêmement fiable. L'enjeu réside dans la séparation. Une solution de secours contrôlée par l'organisation, qu'elle soit sur site, dans un cloud national ou en environnement isolé, peut être sujette à des défaillances pour des raisons différentes de celles de la plateforme principale, et c'est précisément cette différence qui permet à la mission de se poursuivre. 

Par où commencer ? 

La prochaine étape est simple. Dressez la liste des processus critiques qui dépendent de la plateforme principale, y compris les outils de connexion et d'administration qui les sous-tendent. Organisez ensuite un exercice de simulation dans lequel vous partez du principe que la plateforme principale est indisponible pendant 24 heures, et notez chaque étape qui se bloque. 

Servez-vous de cet exercice pour répondre aux questions suivantes : 

• Votre plan de secours a-t-il été testé, ou part-il du principe que la plateforme principale est opérationnelle ? 

• Comment informez-vous le personnel, et pouvez-vous vérifier qui a bien reçu cette information ? 

• Votre copie de sauvegarde partage-t-elle des identifiants de connexion, des outils d'administration ou des appareils avec le serveur principal? 

• En cas de panne du réseau principal, comment vos dirigeants communiquent-ils en toute sécurité ? 

Les critères justifiant un financement sont très restrictifs. Les personnes chargées d’opérations critiques ont besoin d’une solution qui ne tombe pas en panne en même temps que le système principal, afin que la mission puisse se poursuivre quoi qu’il arrive aux systèmes environnants. 

Commencez à planifier la mise en place d'un fonctionnement efficace en mode dégradé.