Une approche systémique de l’adaptation continue

L’ancêtre du mot résilience vient du latin « re-salir » qui a donné « ressaut » ou « rebond ». Dans cette acception, il se rapporte à la capacité d’un système à reprendre un développement après un trauma. Cette approche a profondément transformé les protocoles et même la vision de la clinique du patient ou du domaine psycho-éducatif, fournissant une grille de lecture à la plasticité cérébrale et ouvrant à des méthodes d’accompagnement fondées sur une vision écosystémique : le thérapeute ne se substitue pas au patient, il s’appuie sur les capacités propres de ce dernier. Il adopte une posture basse et laisse au patient l’expertise de son problème.

Plus récemment, les travaux des neurosciences et de l’épigénétique ont mis au jour que la résilience n’est pas seulement une capacité de « réparation » après un choc psychologique. Cette capacité se déploie chez l’individu à travers un ensemble de processus dynamiques et continus de reconfiguration. Le cerveau ne se reconstruit jamais dans son état antérieur. Il intègre les données traumatiques pour produire un nouvel état, il ne peut pas adopter la configuration antérieure car les connexions créées et détruites induisent une matière de travail et une configuration jamais rencontrées. Il se recompose à partir de ce nouvel état physiologique pour créer un nouvel état. Il se réorganise, crée de nouvelles connexions synaptiques, en supprime d’autres, maintient un équilibre précaire entre stabilité et développement plastique des tissus cérébraux. Cette homéostasie neurologique permet non seulement de surmonter le trauma, mais de restaurer – voire de développer – de nouvelles dynamiques de développement cognitives et comportementales.

Les systèmes d’information sont dans une situation analogue. Tout système dispose, à des degrés divers, de cette capacité de résilience. La question n’est pas de savoir si un système peut développer cette capacité de résilience, mais comment structurer les conditions de cette capacité d’adaptation continue au changement. L’enjeu de cette interrogation réside dans l’évolution de l’écosystème contemporain dans lequel évoluent les systèmes d’information et l’entreprise. En effet, les systèmes d’information, tout comme l’entreprise, sont soumis à de fréquentes, voire récurrentes, occurrences de chocs dont l’intensité elle-même va croissante.

Ces chocs sont multiples et protéiformes. D’abord, les chocs économiques : les décisions unilatérales d’éditeurs qui transforment les modèles de coûts de façon inopinée et soudaine. Il peut ici être cité l’exemple du rachat par Broadcom qui a opéré une refonte drastique du modèle de licences des produits VMware, ou encore les révisions tarifaires d’éditeurs comme Microsoft, Oracle ou Atlassian et la liste n’est pas exhaustive.

Ensuite, malgré les nombreuses promesses d’efficacité, de flexibilité et de rationalisation des coûts du « cloud computing », le calendrier de l’année tout juste écoulée regorge de pannes et incidents majeurs chez les « hyperscalers ». Les tableaux de disponibilités (status pages) de ces services en attestent. Ainsi, des interruptions localisées et globalisées ont impacté presque chaque mois un ou plusieurs acteurs, démontrant une fois encore que chaque solution n’est qu’un outil au service d’une stratégie, et certainement pas la réponse à tous les maux des infrastructures informatiques. Ce type de service, bien que dit « dématérialisé » repose sur des équipements physiques bien réels et faillibles, tout comme les humains qui les opèrent et les exploitent.

Enfin, les cyberattaques connaissent une croissance drastique depuis plus d’une décennie, les chiffres d’organismes tels que l’ANSSI ou le CESIN le montrent chaque année dans leurs rapports sur l’état de la menace. C’est effectivement au cours de cette période que la cybercriminalité a opéré son industrialisation par la mutation de ses modèles financiers et opératoires. D’une part les cryptomonnaies ont ouvert des canaux financiers hors de tout système bancaire et fiscal, permettant d’autre part à des plateformes dites du « Dark Web » de réifier la place de marché d’une offre et d’une demande préexistante : l’offre de services et outils de cybercriminalité et la demande d’individus, d’organisations, voire d’États, pour ces services.

Ces différents facteurs de stress et d’atteinte à l’intégrité des systèmes d’information ne sont plus épisodiques. Ils sont récurrents, systémiques et le reflet de l’évolution récente des politiques nationales et internationales. Il y a déjà plus de deux décennies que des outils et normes tendent à structurer les démarches de plan de continuité et de reprise d’activité. D’abord perçue comme une assurance qui ne serait probablement jamais utilisée, cette vision est devenue de fait obsolète. La défaillance des systèmes d’information n’est plus une hypothèse lointaine, c’est une éventualité qui doit être anticipée et gérée. Les systèmes d’information sont devenus le système nerveux de l’entreprise en devenant le support des flux d’information entre ses centres de contrôle et de décision, et ses effecteurs. Sans cet influx nerveux, les processus critiques de l’entreprise deviennent inopérants et le corps de l’entreprise dans son intégralité se meurt dans un temps court. Ainsi, la résilience du système d’information n’est plus une simple mesure opérationnelle : c’est une dimension stratégique de la pérennité de l’entreprise.

Le prisme de lecture de la stratégie des systèmes d’information n’est assurément plus celui d’un outil au service de l’entreprise, c’est un organe vital de l’entreprise : son système nerveux. Le propos n’est donc pas d’évaluer si un système pourrait être exposé à un choc traumatique. Il s’agit dorénavant d’anticiper ces chocs et de structurer le développement continu de cette capacité d’un système à reprendre voire maintenir son développement, cela sans attendre le premier ou le prochain choc. Cette perspective conduit à reconsidérer la définition proposée de la résilience dans le contexte psychologique, pour considérer dans quelle mesure ce besoin d’adaptation induit un autre besoin consubstantiel : le besoin de liberté de choix et d’action pour autoriser cette adaptation continue. Le développement de la résilience des systèmes passe par le questionnement de ces libertés, donc de la souveraineté de l’entreprise à opérer ces choix.

Ainsi la résilience tend à mesurer la capacité d’un système à s’adapter. Non pas à revenir à un état antérieur – vision statique – mais à évoluer vers un nouvel équilibre grâce et malgré le changement. Cette vision dynamique repose sur deux prérequis fondamentaux : d’une part, la liberté de changement, soit pouvoir modifier des choix technologiques, de partenariats, d’architectures ou de composants ; d’autre part, la capacité d’auto-détermination, soit de conserver un pouvoir de décision stratégique, hors de toute dépendance structurelle à un tiers. Par ce prisme s’expriment les enjeux de souveraineté dans un contexte d’accompagnement et de développement de la résilience des systèmes.

Au-delà du débat politique au niveau étatique, l’enjeu de la souveraineté se pose dans le cadre de la liberté de changement et d’évolution des systèmes d’information pour faire face aux exigences de leur écosystème. Effectivement, cette souveraineté peut s’envisager à plusieurs niveaux. Au niveau sémantique premier, elle est une notion se rapportant à la politique et au gouvernement de la nation et de l’État, avec ses implications géopolitiques et diplomatiques. Pour ce propos, elle se considère au niveau de la gouvernance de l’entreprise, dans sa capacité à évoluer au sein d’un environnement de plus en plus contraint. Enfin, encore plus directement, au niveau opérationnel, elle devient la capacité à faire évoluer le système d’information et les systèmes en interface avec les partenaires techniques et institutionnels.

Dans tous les cas, la souveraineté ne s’oppose pas à la collaboration ni à l’externalisation. En effet, dans un contexte de mondialisation exacerbé, la souveraineté nous permet de contextualiser les potentialités d’un environnement interconnecté avec la mesure des besoins d’interconnexion. Elle induit que ces interconnexions restent des choix et non des contraintes subies. Car, comme nous venons de le voir, sans souveraineté, il n’est pas de résilience au sens défini dans ce contexte. Un système excessivement dépendant d’un fournisseur ou de ses solutions, s’il peut être un facilitateur des opérations, peut en venir à enfermer le système dans la stratégie de ce même fournisseur. Il l’expose à une vassalisation technologique incompatible avec l’évolution de ses besoins métiers. A titre d’illustration de ce propos, si la virtualisation est un levier certain de rationalisation des coûts d’infrastructure, l’enfermement stratégique d’entreprises dans leur rapport à l’éditeur des produits VMware, sans être un nécessité technologique, s’est avéré douloureux lors du rachat de cette solution par Broadcom.

Dans le cadre des systèmes d’information, la résilience définit bien une capacité d’adaptation et de remise en mouvement des systèmes, et elle l’établit dans une vision de changement continu. Tout comme le corps renouvelle l’intégralité de ses cellules en quelques jours tout en maintenant la consistance et l’intégrité corporelle, le système d’information se renouvelle et s’adapte par un ensemble complexe de processus de changement de ses composants, tout en assurant l’intégrité et la disponibilité de ses traitements et de ses données. De ce point de vue, ce n’est pas tant la stratégie à adopter qu’il faut interroger, ou qui constitue le nœud gordien de la dualité entre souveraineté et résilience des systèmes : c’est l’opérationnalisation de cette stratégie.

Au regard du contexte contemporain décrit précédemment, la résilience des systèmes d’information est une réalité souhaitable. Tout comme la préservation, ou plutôt la reconquête, d’une forme de souveraineté peut être tout autant un enjeu stratégique de l’entreprise. Nonobstant la volonté stratégique d’une direction, la réalité opérationnelle demeure un défi majeur pour maintenir l’équilibre dynamique et précaire dans lequel doit être maintenu le système d’information : entre disponibilité et fiabilité d’une part et évolutivité et élasticité d’autre part.

Tout d’abord, cet équilibre instable repose sur des arbitrages constants entre des objectifs apparemment antagonistes. Au premier titre, la tension entre coût et flexibilité : la diversification des fournisseurs et des solutions est inflationniste à court terme, mais protège la liberté à moyen terme. Sous un autre angle, l’opposition entre standardisation et diversification met en exergue la simplification de gestion pour la première, quand la seconde protège de dépendances induites par la première. Puis, il est à considérer le dilemme entre efficience et liberté : la solution la plus optimisée aujourd’hui peut devenir la prison de demain. Enfin, il est à noter les contraintes de l’intégration face au besoin de réversibilité : plus profonde est l’intégration avec un écosystème, plus difficile est-il de sortir le composant intégré.

Le changement étant la seule composante qui ne change pas, ces tensions ne se résolvent jamais définitivement. Elles se pilotent en continu. En d’autres termes, non seulement la résilience est une capacité d’adaptation et de remise en mouvement, mais elle le fait dans une acceptation de la continuité et de la complexité des processus qui la sous-tendent. Tout comme la plasticité cérébrale repose sur un subtil, fragile et complexe équilibre de processus de contrôle, de création et de destruction de circuits neuronaux, la résilience des systèmes d’information repose sur une homéostasie de ces composantes techniques, opérationnelles et organisationnelles, pour assurer la cohérence et l’efficience de ce tout qu’est le système d’information.

Du fait de la dynamique de son environnement, l’homéostasie d’un système n’est pas un état déterminé et encore moins un état stable ni une finalité. C’est un ensemble de processus continus et complexes visant à équilibrer un ensemble de forces concourant à la dynamique, la consistance et la cohérence d’un système évolutif et pourtant stable. Aux fins de travailler au maintien de cet équilibre instable, une action conjointe sur trois dimensions est à opérer : les dimensions technique, opérationnelle et organisationnelle.

La dimension technique implique des modèles et des principes architecturaux qui tendent à assurer la modularité et contrôler les adhérences et limiter les plus fortes. L’ouverture des standards et la lisibilité de l’architecture résultante et de ses composants complètent le tableau aux fins de garantir la compréhensibilité et la maîtrise du système. Au-delà de la lisibilité, la pratique de cette architecture et les tests de son efficience sont les juges de paix de l’équilibre des mesures retenues.

Par suite, la dimension opérationnelle requiert des processus de gestion des fournisseurs, des protocoles de réversibilité et des plans de continuité et de reprise éprouvés et revus régulièrement. La prise en compte du cadre réglementaire (NIS2, DORA, LPM) comme levier — et non seulement comme contrainte — de structuration de la résilience est également un facilitateur de l’adoption de pratiques reconnues et validées par les communautés d’experts.

Enfin, la dimension organisationnelle nécessite des compétences polyvalentes pour tenter de pleinement appréhender la complexité des processus en jeu, une culture de la diversité qui supporte la responsabilité des choix et s’adosse à une capacité à donner le droit à l’erreur et à en tirer les apprentissages pour l’avenir. En d’autres termes, cette culture d’apprentissage continu ainsi dépeinte est un des piliers les plus complexes à concrétiser par l’intégration des pratiques, des comportements et des savoir-être qu’il implique. In fine, la cohérence de cette approche conjointe selon les trois dimensions décrites, détermine la véritable résilience du système d’information.

Outre ce premier aspect méthodologique, toute stratégie doit tendre à résister à la réalité du théâtre d’opération, ce qui est fort peu souvent le cas, selon les termes des grands stratèges militaires. Tout comme les domaines de la médecine et du psycho-éducatif ont élaboré et continuent logiquement de structurer des protocoles — préventifs, opératoires et palliatifs — dans le cadre d’une vision systémique de la résilience du patient, le système d’information peut bénéficier de ce type d’approche. Il peut concevoir et opérationnaliser différents plans et procédures dans une temporalité, des contraintes et un environnement qui lui sont propres. Trois catégories de protocoles sont donc utiles.

Tout d’abord, une approche préventive permet d’anticiper les dépendances, de diversifier les technologies, les méthodes et les compétences, dans une temporalité qui offre la sécurité nécessaire à un cadre de construction. Par suite, les protocoles opérationnels structurent la relation fournisseur, éprouvent les mesures ainsi définies pour régulièrement et progressivement développer leur maturité et celle des personnes qui les portent. Enfin, les protocoles palliatifs clarifient et valident ce qui est à éviter et qui pourtant arrive : la bascule, le repli, la reprise voire la sortie d’une situation certes dynamique mais devenue inappropriée dans la réalité nouvelle du système. Dans tous les cas de figure, l’accompagnement non plus post-traumatique mais post-incident reste décisif tant pour relancer le développement du système que pour assurer la remise en jeu des protocoles toujours dans une optique d’amélioration continue.

La résilience est ainsi une capacité des systèmes d’information dans leurs dimensions techniques, opératoires et humaines. Cette capacité est abordée dans une approche holistique du système et de son environnement, itérative dans sa temporalité et continue selon ses besoins d’adaptation. Ladite adaptation repose sur une liberté de décision et d’action qui tient lieu de définition de la souveraineté du système et de l’entreprise au service de laquelle il se trouve. Aux fins d’assurer la complétude de ce travail de clarification et de réflexion, il est encore à envisager les conditions et le cadre par lesquels cette capacité peut être déployée.

En effet, comme toute capacité du système d’information, la résilience peut et a besoin de croître pour faire face aux chocs et incidents inhérents à son environnement actuel. Ce mouvement est d’autant plus pérenne et constructif qu’il se déploie dans un contexte offrant la possibilité et le droit à l’erreur, car rien n’est moins certain, pour tel ou tel système, que le chemin à adopter ou les bonnes approches d’accompagnement à retenir. Le propos qui suit s’inscrit donc, comme dans tout système de gestion, dans une démarche itérative visant à définir et élaborer les processus et leviers techniques pertinents dans le contexte singulier de chaque système d’information, pour intégrer les spécificités et la complexité qui lui sont propres. Il n’est pas, dans cette optique, de « solution universelle » de résilience, ni de croissance de cette capacité. Chaque organisation, tout comme un organisme vivant, a ses contraintes propres au niveau métier, un historique décisionnel, une culture d’entreprise et des niveaux de maturité variables selon les domaines considérés.

Subséquemment, la démarche s’inscrit dans un cycle itératif d’amélioration continue. Un tel cycle est à initier par un diagnostic. Les défauts actuels du système ne sont que rarement volontaires. Il est donc question de mettre en exergue ce qui reste caché au regard des protagonistes du système et qui empêche la dynamique d’évolution et d’adaptation. Il s’agit de questionner les composantes du système pour identifier les dépendances critiques et leurs niveaux, évaluer les risques de verrouillage, de blocage ou de « lock-in ».

Pour poursuivre l’analogie psychologique avec les propos de Kourilsky, cette cartographie ainsi établie, si elle n’est pas le territoire, permet de poser le cadre d’une réalité support de l’élaboration de nouveaux champs d’action et de rationalisation des efforts et enjeux qui sous-tendent le nouveau cadre de développement. Cet ordonnancement est confronté et raffiné par révisions successives au regard des impacts métier et de sa faisabilité.

Par suite, son expérimentation sur le théâtre d’opération de l’entreprise offre un espace de test et d’évaluation des leviers de diversification sur des périmètres limités. Ces actions sont mesurées et observées sous le prisme de leur efficience : réduction des temps de reprise, limitation des pertes de données, prévisibilité des coûts de sortie ou rapidité d’acquisition de nouvelles compétences ou postures par les équipes.

Finalement, il s’agit d’exploiter ces indicateurs pour affiner les protocoles et modes opératoires au regard d’une meilleure compréhension du réel et déployer de nouvelles pratiques éprouvées, tout au moins dans cette temporalité et cette réalité de l’entreprise.

Pour opérationnaliser cette démarche, pléthore d’outils et de solutions sont possibles, à la mesure de la complexité du système considéré. Nonobstant ces incertitudes, dans une approche pragmatique, trois leviers majeurs tendent à se démarquer : les compétences, les données et les relations fournisseurs.

Au regard du décalage de temporalité nécessaire à sa mise en œuvre par rapport aux deux autres, le premier levier à considérer concerne les compétences des équipes tant métier qu’opérationnelle. Dans les cas les plus ardus, cette première composante de la résilience peut s’avérer un point de blocage, si la posture reste globalement fermée au changement. En ce cas, un premier travail est nécessaire pour identifier les personnels ouverts au changement qui seront à activer pour insuffler le changement au sein des équipes. Le changement est une porte qui s’ouvre de l’intérieur, aussi il est préférable d’encourager et d’accompagner ceux qui au sein du système seront des relais naturels de l’ouverture au changement. Ledit changement des équipes est à opérer pour apporter les outils et les moyens de faire face à la diversification et l’incertitude. La diversité en question peut par exemple induire les besoins de maîtrise de technologies multi-opérateurs pour les services dits de « cloud », d’automatisation desdits services ou de documentation pratique et rationnelle notamment sous l’angle des adhérences et dépendances. En rapport avec le dernier sujet, chacun à son niveau, les équipiers ont besoin d’intégrer les modes de relations fournisseurs pour assurer le transfert des connaissances utiles ou la maîtrise de la relation contractuelle des engagements.

Le second item consiste à maîtriser les données, ou plus exactement le cycle de vie de la donnée. Ce chantier implique d’abord la définition d’une taxonomie et d’une cartographie des données sensibles. Par suite, il est ainsi possible de rationaliser la protection des données par des politiques de chiffrement et la contractualisation de la localisation et de la réversibilité des données. Enfin, l’aspect juridique doit est pris en compte à travers les nombreux cadres réglementaires applicables au contexte de l’entreprise : SecNumCloud, RGPD, NIS2, DORA ou toutes exigences sectorielles.

La dernière composante de cette démarche concerne une thématique transverse déjà abordée par les points précédents : la maîtrise de la contractualisation. Cette composante intègre, outre les points susmentionnés, la négociation systématique de clauses de réversibilité réalistes, une diversification des fournisseurs et de leurs sous-traitants sur les données et services critiques. L’ensemble est intégré dans une gouvernance active des dépendances stratégiques de l’entreprise, pour assurer la capacité d’anticipation des évolutions tarifaires et contractuelles par une veille structurée.

La résilience d’un système n’est pas une finalité, mais le chemin vers plus de pérennité, dans une vision stratégique de la souveraineté de l’entreprise et de sa gouvernance. Dans un temps et un monde connecté, cette souveraineté n’est pas la résultante d’une vision isolationniste, mais le cadre d’une collaboration mesurée et équilibrée pour une innovation durable et responsable.

Les enjeux sont d’accroître de façon mesurée, progressive et consciente les capacités d’adaptation qui permettent de préparer l’entreprise aux chocs à venir, non pas en les subissant, mais en les transformant en opportunités de renforcement.

Si la résilience est une capacité inhérente à tout système, son développement systémique et structuré est un choix stratégique délibéré. De par cette décision s’opère une dichotomie qui sépare les organisations qui subissent leur avenir de celles qui le construisent malgré les incertitudes et s’adaptent aux nouvelles réalités.