Mon assurance résilience

1. Une assurance, au sens d'une précaution

Le mot « assurance » est une image. Ce n'est pas un contrat d'assurance, ni une garantie de résultat, et aucune indemnité n'est prévue. C'est un ensemble de dispositions concrètes, que vous pouvez vérifier vous-même :

• vos données restent à vous, et plusieurs applications les exportent dans une archive ZIP que l'on lit sans nos outils (CSV, JSON, Markdown) ;
• pour la plupart de ces applications, un pendant de bureau fonctionne hors ligne sur Windows, sur Linux et sur Android, avec les données sur le poste ;
• des outils d'aide à la sortie (Migration, DataVirt, Contracts) vous aident à quitter un système actuel sans casser l'exploitation ;
• des registres et des évaluations (Process, Archi & Processus, Policies) tiennent la documentation que demande une stratégie de sortie.

2. Ce que DORA demande, et où nous aidons

Le règlement (UE) 2022/2554, dit DORA, vise la résilience opérationnelle numérique des entités financières. Parmi ses exigences, quatre touchent directement le sujet de cette page :

• l'article 28, paragraphe 8 : pour les services TIC qui soutiennent des fonctions critiques ou importantes, l'entité financière met en place des stratégies de sortie, complètes, documentées, suffisamment testées et revues périodiquement ;
• l'article 30, paragraphe 3, point f : le contrat avec le prestataire prévoit ces stratégies de sortie, et notamment une période de transition obligatoire et adéquate ;
• l'article 12 : des politiques de sauvegarde et des procédures de restauration, documentées, dont les procédures sont testées périodiquement ;
• l'article 11 : une politique de continuité des activités TIC, avec ses plans de réponse et de rétablissement.

Prophetix aide à préparer ces points. Nous n'attestons rien : l'évaluation de votre situation, le choix de vos fonctions critiques et la décision de conformité restent les vôtres, avec votre juriste et votre autorité de contrôle. Les exigences de référence fournies dans Policies sont des exemples reformulés, en petit nombre, sans prétention d'exhaustivité.

Cela vaut dans les deux sens. Vos propres prestataires TIC sont soumis à vos exigences de sortie ; Prophetix est l'un d'eux si vous nous confiez des services qui comptent. Nous préférons donc vous donner de quoi sortir de chez nous que vous demander de nous croire sur parole.

3. Sortir facilement de vos systèmes actuels

Une stratégie de sortie n'a de valeur que si une solution de repli existe et si on a répété le passage. Voici ce qui vous y aide.

Migration : déplacer par vagues

• Migration reprend les courriels depuis un serveur IMAP, Microsoft 365 ou Google Workspace, vers un serveur IMAP ou Microsoft 365, par vagues que l'on lance, suspend et reprend ; une synchronisation des derniers changements précède la bascule.
• Elle lit Active Directory, LDAP, Entra ID ou un fichier CSV ou LDIF, et fait correspondre les identités de la source et de la cible.
• Elle synchronise des partages de fichiers (dossier local, partage Windows, WebDAV) avec leurs droits d'accès Windows, après un aperçu de ce qui serait fait.
• Ce qu'elle ne fait pas encore : migrer les agendas et les contacts, écrire dans l'annuaire cible, utiliser Google Workspace comme destination. Elle est en préparation et n'a pas encore été éprouvée sur de vraies boîtes ni de vrais annuaires.

Odoo : reprendre vos données dans Business

• Business sait recevoir, depuis Odoo 17, 18 ou 19, les devis, commandes, factures et la comptabilité, avec des totaux rapprochés de ceux d'Odoo ; les règles automatisées arrivent désactivées, à relire.
• Cette reprise a été essayée sur un banc d'essai, pas sur vos données : prévoyez une répétition avant de vous y fier.

DataVirt : répéter sans toucher à la production

• DataVirt crée en quelques secondes une base virtuelle au-dessus de votre production, avec des données personnelles masquées. Tout ce que vous y écrivez reste dans la base virtuelle.
• L'analyse d'impact rejoue vos requêtes avant et après un changement : requêtes cassées, résultats changés, index perdus, et tout ce qui dépend d'une colonne retirée.
• Vous pouvez ainsi essayer une migration ou une bascule de bout en bout, plusieurs fois, sans risque pour l'exploitation.

Contracts : savoir quand et à quel prix partir

• Contracts tient le registre de vos contrats : dates, reconduction tacite ou expresse, préavis, échéances calculées, fin au plus tôt et engagement ferme qui reste.
• Il marque un tiers comme prestataire critique lorsqu'une activité importante dépend de lui, et produit un échéancier à importer dans votre agenda.

4. Ne pas s'enfermer chez nous non plus

La sortie vaut aussi pour Prophetix. C'est la raison d'être du pendant de bureau et de l'export.

• Export lisible sans nos outils : Business (pour ses marques), Contracts, CRM (campagnes comprises), Payroll, Policies et HR (pour ses notes de frais) exportent l'organisation en archive ZIP (registres en CSV, objets en JSON, textes en Markdown, pièces d'origine). Connect exporte ses conversations de la même façon, et SOC exporte ses événements en CSV ou en NDJSON et sa configuration en JSON.
• Import vérifié : Contracts et Policies contrôlent l'archive à l'import, avec les empreintes vérifiées, et appliquent le tout en une seule transaction.
• Pendant hors ligne : Business (pour ses marques), Contracts, CRM, Payroll et HR (pour ses notes de frais) fonctionnent sur Windows, sur Linux et sur Android, sans serveur, avec les données sur l'appareil ; Policies fonctionne sur Windows et sur Linux, et se lit sur Android.
• Le modèle d'architecture d'Archi & Processus tient dans un fichier, avec son dossier de documents, sur un poste Windows, sans serveur.

Cette liste n'est pas celle de tout le catalogue. D'autres applications, comme CMDB, Business, Family ou Polls, n'ont pas d'export d'organisation à ce jour. Avant de bâtir une stratégie de sortie sur une application, vérifiez sur sa fiche qu'elle exporte, et ce qu'elle exporte.

Deux points restent à arrêter et nous préférons vous les dire : la durée pendant laquelle un pendant de bureau fonctionne sans joindre le serveur, et ce que devient l'export une fois l'abonnement terminé. En attendant, exportez avant de résilier, pas après, et ne comptez pas sur un travail hors ligne sans limite de durée.

5. Un plan de continuité facile, et démontrable

Un plan que l'on n'a jamais joué n'est qu'une intention. Voici un exercice que vous menez vous-même, avec des étapes qui fonctionnent aujourd'hui dans les applications citées ci-dessus :

• exportez l'organisation d'une application en archive ZIP, et notez la date et l'application ;
• ouvrez l'archive avec un simple tableur et un éditeur de texte : si vous lisez vos données, vous n'avez pas besoin de nous pour les lire ;
• coupez le réseau d'un poste et ouvrez le pendant de bureau : le registre reste consultable et modifiable ;
• importez l'archive dans une organisation vide, et comparez : dans Contracts et Policies, l'import vérifie les empreintes des fichiers ;
• consignez le résultat : dans Archi & Processus, l'évaluation d'un fournisseur comporte un champ « plan de continuité testé » ; dans Contracts, vous marquez le fournisseur comme prestataire critique ; Process tient les registres DORA (prestataires TIC, incidents, risques), avec une piste d'audit dont chaque entrée porte une empreinte SHA-256.

Les produits ne génèrent pas de rapport d'exercice : le procès-verbal est le vôtre, et c'est lui que vous montrerez. Ce que Prophetix apporte, c'est que l'exercice est court, qu'il se fait avec des fichiers lisibles, et qu'il laisse une trace que vous pouvez conserver.

Pour la surveillance et l'inventaire qui entourent ce plan, CMDB tient l'inventaire des actifs informatiques, SOC centralise les journaux et lève des alertes, et Audit sécurité passe en revue l'annuaire, les postes, le réseau et les applications.

6. Ce que cette page ne dit pas

• Ce n'est pas une garantie, ni un contrat d'assurance, ni un avis juridique. Aucune application Prophetix n'atteste une conformité à DORA ou à un autre texte.
• Le registre d'information DORA de Process s'exporte en XML dans un format propre à Process, pas dans le format officiel de dépôt, qui est en préparation.
• Plusieurs applications sont encore en préparation. L'état de chacune, ses plateformes et ses limites sont sur sa fiche : lisez-la avant de compter dessus.
• Backup, la sauvegarde du poste, ne lance pas encore de sauvegarde : nous ne la comptons pas dans ce plan.
• Rien de ce qui précède ne remplace un test sur vos propres données.

7. Pour commencer

• Choisissez une fonction qui compte pour vous, et l'application qui la porte.
• Jouez l'exercice de la section précédente, sur des données d'essai.
• Notez le résultat, puis recommencez quand vous changez d'outil ou de prestataire.