Un même incident peut être lu de deux façons : un serveur indisponible est un problème technique, mais l'interruption du processus métier qu'il porte (facturation, déclarations réglementaires, livraison de service) est ce qui produit les conséquences financières, contractuelles et réglementaires. La criticité technique et la criticité métier d'une même ressource ne coïncident pas toujours.
Une analyse d'impact sur l'activité (AIA) sert à établir cette distinction. Conduite comme un inventaire des systèmes, elle manque son objet ; c'est un exercice fondé d'abord sur le métier, qui répond à une question : si ce processus s'arrête, quelles sont les conséquences pour l'entreprise, et dans quel délai ?
Ce guide présente une méthodologie AIA adaptée aux petites et moyennes entreprises (PME), réalisable en quelques sessions de travail sans outillage dédié. Elle s'appuie sur des sources publiées : le NIST Cybersecurity Framework (CSF) 2.0, le NIST SP 800-34, les Cyber Essentials du CISA et la méthode EBIOS Risk Manager de l'ANSSI.
Qu'est-ce qu'une analyse d'impact sur l'activité (AIA) ?
Une AIA est un processus systématique pour identifier et évaluer les effets potentiels de perturbations sur les opérations métier critiques. Selon le NIST SP 800-34 Rev. 1, l'AIA constitue l'étape 2 d'un processus de planification de continuité en sept étapes. Il vise à identifier et prioriser les systèmes et composants IT critiques en comprenant leur rôle dans le soutien des processus métier et de mission.
Pour les PME, le NIST CSF 2.0 renforce cela via la fonction Identify (Identifier), et plus spécifiquement la catégorie Asset Management (ID.AM) (gestion des actifs). Les actifs doivent être priorisés selon leur classification, leur criticité, leurs ressources et leur impact sur la mission.
Le point de départ de l'AIA est donc le processus métier, pas la technologie : la première question porte sur ce que l'entreprise produit et sur ce dont elle a besoin pour continuer, pas sur la liste des serveurs.
Pourquoi les PME ont besoin d'une approche différente
Dans les grandes organisations, l'AIA mobilise des équipes dédiées à la continuité d'activité, des logiciels spécialisés et plusieurs ateliers. Une PME dispose d'un temps et d'effectifs limités ; les principes restent les mêmes, seule l'exécution doit être plus légère.
Les Cyber Essentials du CISA pour les petites entreprises recommandent explicitement aux dirigeants d'aborder la cybersécurité comme un risque métier et d'identifier les dépendances envers les technologies de l'information. La Small Business Administration américaine recommande que les PME utilisent des outils de planification comme le Small Biz Cyber Planner 2.0 de la FCC ou le Cyber Resilience Review (CRR) gratuit du CISA pour évaluer les risques sans lourdeur enterprise.
La méthode EBIOS Risk Manager de l'ANSSI est explicitement conçue pour être adaptable quelle que soit la taille, le secteur d'activité, ou le stade des systèmes d'information. Son Atelier 1 se concentre sur l'identification des missions, des actifs métier et des actifs de soutien. Cette structure s'adapte bien aux petites équipes.
Le cadre AIA pour PME : un processus en 5 étapes
Basé sur les recommandations du NIST, du CISA et de l'ANSSI, voici un cadre AIA pratique pour les PME aux ressources limitées.
Étape 1 : Cartographier les processus métier, pas l'inventaire IT
Commencez par ce que l'entreprise fait, pas par ce qu'elle possède.
Listez 5 à 10 processus métier essentiels. Pour une PME typique, cela pourrait inclure le traitement des commandes clients et la facturation, la paie et l'administration RH, la livraison de services clients (conseil, fabrication, santé...), le reporting réglementaire et la conformité, les opérations commerciales et le marketing, la gestion des fournisseurs et de la chaîne logistique.
Posez-vous la question : si ce processus s'arrêtait pendant 1 heure, 1 jour ou 1 semaine, quelles seraient les conséquences métier ?
La fonction Identify du NIST CSF 2.0 met l'accent sur la compréhension de la mission, des objectifs, des parties prenantes et des activités de l'organisation. C'est votre point de départ.
Étape 2 : Identifier les ressources dont dépend chaque processus
Pour chaque processus métier, listez les ressources nécessaires à son exécution. Le NIST SP 800-34 les catégorise ainsi : les personnes (rôles spécifiques, expertise, individus clés), les données (dossiers clients, données financières, PI, données opérationnelles), les applications (CRM, ERP, logiciel comptable, outils métiers), l'infrastructure (serveurs, services cloud, réseaux, postes de travail), les tiers (fournisseurs SaaS, processeurs de paiement, partenaires logistiques), et les locaux (bureaux, ateliers de production, utilités).
Cela s'aligne sur les ID.AM-01 à ID.AM-08 du NIST CSF 2.0, qui couvrent les inventaires de matériel, logiciel, services, données et fournisseurs.
Étape 3 : Évaluer l'impact dans le temps
Pour chaque couple processus-ressource, estimez l'impact d'une perturbation sur trois horizons temporels. Le NIST SP 800-34 fournit un modèle pour cela : identifier les impacts de perturbation et les temps d'indisponibilité acceptables pour chaque ressource critique.
Les horizons temporels et impacts correspondants : 0 à 4 heures (retards opérationnels, perte de revenus immédiate, frustration client), 4 à 24 heures (deadlines manquées, pénalités contractuelles, exposition réglementaire), 1 à 7 jours (atteinte à la réputation, départ de clients, crise de trésorerie, responsabilité légale).
Utilisez une échelle de sévérité simple : Critique (survie de l'entreprise menacée, sécurité ou conformité légale en jeu), Élevé (perte de revenus majeure ou violation réglementaire, récupération difficile), Moyen (perturbation opérationnelle significative, gérable avec des solutions de contournement), Faible (inconvénient mineur, facilement absorbable).
L'EBIOS Risk Manager de l'ANSSI utilise une échelle de sévérité similaire en quatre niveaux : critique, grave, significatif et mineur. Elle évalue l'impact sur la sécurité des personnes et des biens, et la survie de la structure.
Étape 4 : Définir les priorités de récupération
Sur la base des évaluations d'impact, attribuez des priorités de récupération. Le NIST SP 800-34 recommande une échelle simple Haut/Moyen/Faible. Haut signifie que la restauration doit intervenir dans le délai d'indisponibilité acceptable pour éviter un échec métier critique. Moyen signifie que c'est important pour les opérations complètes mais peut tolérer une perturbation plus longue. Faible signifie que c'est non essentiel et peut être restauré quand les priorités supérieures sont stabilisées.
Pour chaque ressource de haute priorité, définissez le Recovery Time Objective (RTO) : le temps d'indisponibilité maximum acceptable (ex. 4 heures). Définissez aussi le Recovery Point Objective (RPO) : la perte de données maximum acceptable, mesurée en temps (ex. 1 heure de transactions).
Étape 5 : Documenter et réviser
Votre AIA n'a pas besoin d'être un rapport de 50 pages. Un tableur ou document de 2 à 3 pages suffit pour la plupart des PME. Incluez : l'inventaire des processus métier, les dépendances en ressources, les niveaux de sévérité d'impact, les priorités de récupération et les objectifs RTO/RPO, et les responsables assignés pour chaque processus.
Le Cyber Resilience Review (CRR) du CISA évalue la maturité des capacités de votre organisation sur 10 domaines, incluant la gestion des actifs et la gestion de la continuité des services. Utilisez l'option d'auto-évaluation du CRR pour valider votre AIA contre des standards reconnus, gratuitement.
Erreurs courantes à éviter
Commencer par la technologie plutôt que par le métier est une erreur courante. Si votre AIA commence par « nous avons trois serveurs et deux firewalls », vous avez inversé la logique. Commencez plutôt par « nous traitons 50 factures par jour. De quoi avons-nous besoin pour continuer ? »
La plupart des PME font tourner des processus critiques via des plateformes SaaS (QuickBooks, Salesforce, Google Workspace). Le NIST CSF 2.0 GV.SC-04 exige que les fournisseurs soient connus et priorisés par criticité. Si votre fournisseur CRM tombe en panne, votre AIA doit en tenir compte.
Toutes les données ne méritent pas la même protection. Les données de paiement client peuvent être de priorité Haute. Les supports marketing de l'année dernière peuvent être de priorité Faible. Le NIST CSF ID.AM-05 appelle explicitement à une priorisation basée sur la classification, la criticité, les ressources et l'impact sur la mission.
L'AIA est un document vivant. Le NIST SP 800-34 insiste sur le fait que le plan doit être mis à jour régulièrement pour rester à jour avec les évolutions des systèmes. Révisez votre AIA trimestriellement, ou à chaque changement métier majeur (nouvelles lignes de produits, nouveaux fournisseurs, fusions-acquisitions).
Connecter votre AIA au NIST CSF
Votre AIA alimente directement la structure globale du NIST CSF 2.0. L'inventaire et la priorisation des actifs correspondent à IDENTIFY : Asset Management (ID.AM). Les évaluations de sévérité des risques correspondent à IDENTIFY : Risk Assessment (ID.RA). Les objectifs RTO/RPO correspondent à RECOVER : Incident Recovery Plan Execution (RC.RP). Les niveaux de criticité des fournisseurs correspondent à GOVERN : Cybersecurity Supply Chain Risk Management (GV.SC). Les lacunes des contrôles préventifs correspondent à PROTECT : Technology Infrastructure Resilience (PR.IR).
Une AIA est rarement un effort isolé. Une fois l'impact et les priorités cartographiés, les mêmes données alimentent votre évaluation de maturité sur le CSF 2.0 et, à travers elle, votre préparation à ISO 27001 ou SOC 2 ainsi que vos obligations au titre de NIS2 et du RGPD.
L'AIA dans Komplyo
Komplyo utilise le NIST CSF 2.0 comme référentiel d'évaluation et projette les mêmes réponses sur ISO 27001, SOC 2 et le RGPD via les correspondances entre référentiels. Les priorités établies dans une AIA (processus critiques, criticité des fournisseurs, objectifs de récupération) correspondent aux fonctions Identify, Govern et Recover évaluées dans le questionnaire, et les écarts identifiés alimentent une feuille de route priorisée et les documents générés. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un score indicatif par fonction CSF.
Foire aux questions
Quelle est la différence entre une AIA et une analyse de risques ?
Une analyse de risques estime la probabilité et l'impact de menaces précises (rançongiciel, inondation, défaillance d'un fournisseur). Une AIA se concentre sur les conséquences dans le temps si un processus ou une ressource devient indisponible, quelle qu'en soit la cause. En termes NIST CSF 2.0, l'AIA alimente l'Asset Management (ID.AM) et le Risk Assessment (ID.RA). Les deux sont complémentaires.
Combien de temps prend une AIA pour une PME ?
Pour la plupart des PME, une AIA ciblée couvrant 5 à 10 processus essentiels prend quelques sessions de travail, pas des mois. Un livrable de 2 à 3 pages suffit. L'objectif est la clarté sur les priorités, pas une documentation exhaustive.
Que signifient RTO et RPO ?
Le RTO (Recovery Time Objective) est le délai dans lequel un processus doit être rétabli. C'est l'indisponibilité maximale tolérable. Le RPO (Recovery Point Objective) est la quantité de données que vous pouvez vous permettre de perdre, mesurée en temps (ex. une heure de transactions). Le RTO répond à la question « à quelle vitesse ? ». Le RPO répond à « combien de données ? »
Une AIA est-elle utile sans obligation réglementaire ?
Oui. Même sans obligation réglementaire, une AIA établit ce qu'il faut protéger et restaurer en premier, ce qui structure la réponse à incident. C'est aussi un prérequis pour des référentiels comme ISO 27001 et un élément de diligence attendu par les clients grands comptes.
Comment une AIA s'articule-t-elle avec ISO 27001 et SOC 2 ?
Une AIA produit les données de priorisation des actifs, de continuité d'activité et de récupération que les deux référentiels attendent. Avec Komplyo, ces mêmes données sont évaluées sur le NIST CSF 2.0 puis projetées sur ISO 27001 et SOC 2 ; les mêmes questions ne sont jamais posées deux fois. Voir ISO 27001 ou SOC 2 : comment choisir.
En résumé
Une analyse d'impact sur l'activité n'a pas pour but de produire l'inventaire technique le plus complet. Elle établit, en termes métier, quels processus font vivre l'entreprise et ce qui doit être protégé et restauré en premier. Pour une PME, le point d'entrée est le processus (facturation, paie, échéances réglementaires, livraison de service), pas l'équipement ; les ressources techniques apparaissent à l'étape 2, comme dépendances de ces processus.
Les cadres publiés (le NIST CSF 2.0, le NIST SP 800-34, les ressources du CISA et l'EBIOS Risk Manager de l'ANSSI) fournissent la structure ; la connaissance du métier, propre à chaque entreprise, fournit le contenu.