Un « périmètre » correspond à une activité critique ou une fonction identifiée comme devant faire l’objet d’un PCA/PRA suite à la réalisation d'un BIA.

A titre d’exemple, un périmètre peut être : un service de soins, un plateau technique, un processus administratif.
 

Le candidat doit formaliser le PCRA sur les activités critiques ayant fait l’objet d’un BIA. La qualification du périmètre auquel est rattaché un processus métier est au choix de l'établissement.

Les plateaux techniques communément admis dans la section d’analyse médicotechnique sont les suivantes : blocs opératoires, bloc gynéco-obstétrical, anesthésiologie, laboratoire d’analyse médicale biologique, laboratoire d’anatomo-pathologie, imagerie, médecine nucléaire, exploration fonctionnelle (cardio-vasculaire, pneumologique, d’urodynamique, autres), réadaptation et rééducation fonctionnelle polyvalente.
En complément, la pharmacie peut bien être considérée comme un plateau technique au titre de l’objectif.

Dans le cadre de l’objectif D2.O3.B, la notion de « bouton rouge » désigne la capacité technique à isoler rapidement l’infrastructure de sauvegarde du reste du système d’information en cas d’incident de sécurité. 
Il n’est pas attendu que cette capacité soit déjà mise en œuvre opérationnellement. L’objectif vise à définir une capacité cible et la trajectoire associée, permettant une isolation rapide, centralisée et maîtrisée, déclenchable sur décision du RSSI ou de l’astreinte. 
Le « bouton rouge » ne correspond pas nécessairement à un bouton physique : il s’agit d’une action simple, immédiate et sans ambiguïté, reposant sur des mécanismes d’isolement pilotés et robustes, plus fiables que des actions manuelles ponctuelles.  
Les justificatifs attendus doivent permettre de matérialiser cette capacité, notamment au travers d’un schéma d’architecture cible, de la description des flux, et d’une procédure formalisée d’isolement en cas d’incident. 

Une sauvegarde est considérée comme immuable dès lors qu’elle ne peut pas être modifiée ni supprimée, volontairement ou involontairement, pendant une durée définie, reposant sur une garantie technique. En l’absence de référentiel fixant une durée minimale ou maximale, la durée retenue doit être cohérente et justifiée au regard des objectifs de sécurité, de restauration et de résilience poursuivis. Une durée inadaptée peut soulever des interrogations lors de l’analyse de conformité. 

La réutilisation des supports de sauvegarde à l’issue de cette période est possible, sous réserve que l’immuabilité soit garantie pendant toute la durée définie. La conformité est appréciée au regard de la cohérence globale de la solution mise en œuvre et des éléments justificatifs transmis. 

Non. Le critère « 1 » de la stratégie 3-2-1 vise la conservation d’une copie hors site, c’est-à-dire dans un emplacement physique distinct de celui des données de production, ou hors ligne, c’est-à-dire non connectée au réseau. 
Le stockage d’une sauvegarde dans un autre espace du même bâtiment ne permet pas de répondre à l’exigence « hors site ». En revanche, le stockage d’une sauvegarde dans un coffre ignifugé dans un autre local du même bâtiment permet de répondre à l’exigence « hors ligne ». 

Au moins un des tests menés doit concerner un environnement de production.

Celui-ci doit concerner un système dont la criticité pour l’activité de l’établissement est établie.

Le Domaine 2 porte sur le périmètre sanitaire. A ce titre, les candidats GHT n’ont aucune obligation d’intégrer les établissements médico-sociaux dans le cadre des travaux conduits en réponse aux différents objectifs bien que cela puisse être recommandée en vue de renforcer la résilience globale du candidat. 

La totalité des établissements sanitaires du GHT doivent être couverts par la gouvernance de contrôle de la réalisation des sauvegardes, et non uniquement les 66% d’activité combinée 

Pour rappel, les candidats doivent définir une trajectoire de mise en œuvre du 3-2-1 mais son opérationnalisation n’est pas attendue dans le cadre de l’objectif D2.O3.C. Ainsi, les candidats ne sont pas tenus de soumettre des preuves relatives à l’immuabilité des copies. 

Il est rappelé que l’immuabilité est obtenue par la concomitance de plusieurs dispositifs. A titre d’exemple, les situations suivantes ne permettent pas de garantir une immuabilité des copies : une procédure organisationnelle sans justification technique, un support en coffre-fort sans verrouillage logiciel ou matériel, une sauvegarde externalisée mais modifiable (pas de WORM / Object Lock). 
L'établissement doit donc s’engager dans une trajectoire associant une contrainte technique en complément de contrainte organisationnelle afin d’empêcher toute altération prématurée. 

Autres questions : la restauration doit-elle être réalisée dans un environnement isolé ou est-il attendu de restaurer l’environnement de production ? Les équipes métier doivent-elles faire une recette de validation de la restauration ? Un exercice de terrain simultané doit-il être conduit pendant ce test ? 

Pour rappel, la validation de l'objectif D2.04 repose sur la réalisation de tests techniques portant sur la restauration d'une VM ou d'une base de données, et ce avec au moins un test conduit sur des données de production et pour un système outillant une activité critique.

Il n'est pas attendu de réaliser un effacement des données de production ou tout autre action pouvant impacter la continuité d'activité ou la conservation des données : ainsi, la restauration peut être réalisée sur un environnement isolé.
Le candidat est par exemple invité à réaliser la restauration de sa base de données de production sur un environnement de qualification ou de formation. Dans le cas où les espaces de stockage disponibles ne permettent pas une restauration complète de l’environnement, une restauration partielle peut être envisagée.

Le candidat est invité à la plus grande vigilance dans la préparation de ce test, et notamment dans la revue des fichiers de paramétrage ou scripts utilisés, pour garantir que la réalisation de ce test n’ait pas d’impact sur l’environnement de production du système ou les environnements de production de systèmes connexes.

Il est attendu qu'un correspondant métier soit identifié pour la réalisation de tests fonctionnels, néanmoins la réalisation de ces tests n'est pas objectivée. Aussi, les tests de restauration ne doivent pas nécessairement inclure une recette métier ou être accompagnés d'un test terrain mais cela est recommandé.
 

Une réplication n'est pas une sauvegarde dans la mesure où elle reproduit immédiatement toute modification ou corruption. Elle ne permet donc de revenir à un état antérieur. 
Le 3-2-1, exige des copies indépendantes du système de production, la possibilité de restaurer un état antérieur, d’être stockée sur un support distinct, d’être immuable et ne pas être automatiquement modifié par les opérations de production.  Aussi, la mise en place d’un système de réplication ne permet pas de répondre aux objectifs du domaine et ne constitue pas une dépense éligible. 

La règle 3-2-1 n'est pas garantie si les copies sont réalisées sur une même technologie altérable, en ce qu’elle repose sur la diversité effective des mécanismes de sauvegarde. Le candidat doit démontrer l'existence d'au moins 2 supports réellement différents, d'une copie immuable et d'au moins une copie hors site / hors ligne.  Ainsi la présence d'un site de secours ou d'un cloud ne suffit pas si les 3 copies reposent sur des solutions modifiables ou exposées aux mêmes risques. Les candidats doivent démontrer la complémentarité des supports et la robustesse de son schéma face aux cyberattaques. 

Non, il n’est pas requis, dans le cadre de l’objectif D2.O3.C, que l’immuabilité soit forcément assurée sur la copie hors site / hors ligne.

Les contrats de service sont obligatoires uniquement dans le cadre de l'objectif D2.O3.C, relatif à une externalisation de l'hébergement.  
Néanmoins et pour les objectifs D2.O2.B, D2.O3.B et D2.O3.D, les Contrats de Niveau de Service (CNS/SLA) ne sont pas explicitement attendus mais peuvent être utilisés comme preuves alternatives lorsque les documents préférentiellement attendus (i.e. calendrier de sauvegarde, extrait de PAS, procédures de gestion des incidents) ne sont pas disponibles.  

Non. Les audits ne font pas partie des objectifs du programme et ne sont donc pas éligibles à un financement. Elles constituent une réponse à un besoin global de continuité et de reprise d'activité mais n'agissent pas directement sur les capacités opérationnelles du candidat et l’atteinte des objectifs du domaine 2.  

Le candidat doit soumettre la procédure existante d’isolement ou d’arrêt des serveurs de sauvegarde.