Les coups durs arrivent rarement aux meilleurs moments.
L'alerte tombe un samedi soir à 23 heures. Le serveur central de votre ONG médicale vient de subir une attaque par rançongiciel. L'ensemble des dossiers patients, des plannings de missions, des coordonnées des volontaires internationaux se trouve chiffré et inaccessible.
Dans moins de 48 heures, une équipe chirurgicale doit partir pour une mission d'urgence au Bangladesh suite à un cyclone dévastateur. Les procédures de départ, les vaccinations requises, les contacts logistiques sont piégés dans des fichiers illisibles. Le paiement des fournisseurs locaux, indispensable pour libérer du matériel médical stocké, est bloqué car les accès bancaires sont compromis.
Cette situation, loin d'être hypothétique, illustre la criticité absolue de la continuité d'activité pour les organisations non gouvernementales : contrairement aux entreprises commerciales qui subissent des pertes financières, l'indisponibilité informatique peut coûter des vies humaines.
Pourquoi la continuité d'activité des ONG diffère-t-elle de celle des entreprises ?
Les plans de continuité d'activité (PCA) et de réponse aux incidents informatiques des entreprises classiques visent à préserver la rentabilité, maintenir la satisfaction client et éviter les sanctions réglementaires. Pour les ONG humanitaires et d'urgence, l'enjeu dépasse largement le cadre économique. La capacité à répondre immédiatement à une crise humanitaire, à acheminer des ressources vitales, à coordonner des équipes dispersées constitue souvent une question de survie pour les populations bénéficiaires.
La criticité des opérations terrain impose des délais de récupération drastiques. Une entreprise peut tolérer 24 heures d'indisponibilité de son système de gestion des ressources humaines. Une ONG d'urgence ne peut pas se permettre une telle latence lors d'une épidémie ou d'une catastrophe naturelle. Les Objectifs de Temps de Récupération (RTO) des ONG se mesurent en heures, parfois en minutes, contre des jours ou des semaines pour le secteur privé standard.
La complexité opérationnelle ajoute des couches de vulnérabilité. Les équipes sont géographiquement dispersées, les infrastructures locales sont précaires, les dépendances aux systèmes d'information sont totales (suivi des stocks médicaux, coordination logistique, communication sécurisée avec des zones de conflit). Une panne ne se limite pas à un site isolé mais peut paralyser l'ensemble de la chaîne de valeur humanitaire.
Quels scénarios de crise informatique menacent spécifiquement les ONG ?
Les ransomwares représentent la menace la plus immédiate et la plus dévastatrice. Les attaquants ciblent délibérément les ONG, percevant leur dépendance critique aux données et leur capacité limitée à payer des rançons importantes. Le chiffrement des systèmes paralyse instantanément la coordination des secours, avec des conséquences potentiellement mortelles lors d'interventions d'urgence.
Les catastrophes naturelles impactent directement les infrastructures informatiques des bureaux de terrain. Inondations, tremblements de terre, cyclones détruisent physiquement serveurs et équipements réseau. La concentration des ressources informatiques dans des zones à risque, nécessaire pour la proximité avec les bénéficiaires, expose les ONG à des pertes matérielles simultanées sur plusieurs sites.
Les conflits armés et les instabilités politiques créent des risques spécifiques. L'accès aux locaux peut être interdit, le personnel évacué en urgence, les équipements saisis ou détruits. Les cyberattaques étatiques ciblent les communications des ONG pour en contrôler l'action ou la discréditer. La compromission des systèmes d'information dans de tels contextes expose les collaborateurs locaux à des risques physiques réels.
Les erreurs humaines, finalement, demeurent une cause majeure d'indisponibilité. La suppression accidentelle de bases de données essentielles, la mauvaise configuration d'un équipement réseau, le vol d'un appareil contenant des informations critiques peuvent paralyser une organisation aussi sûrement qu'une attaque malveillante.
Comment élaborer un Plan de Continuité d'Activité adapté aux ONG ?
L'élaboration d'un PCA efficace commence par une analyse d'impact métier précise. Quels processus sont véritablement critiques ? Quels délais de récupération sont tolérables ? Quelles ressources sont indispensables ? Pour une ONG médicale, le suivi des stocks de médicaments et la coordination des équipes chirurgicales priment sur la comptabilité administrative. Pour une ONG de protection de l'enfance, la traçabilité des enfants pris en charge et la communication sécurisée avec les équipes terrain sont vitales.
La stratégie de sauvegarde constitue le pilier technique du PCA. Le schéma 3-2-1 (trois copies des données, sur deux supports différents, dont un hors site) doit être adapté aux contraintes de connectivité des zones d'intervention. Les sauvegardes locales, rapides et autonomes, se complètent de réplications cloud chiffrées lorsque la connexion le permet. Les tests de restauration, trop souvent négligés, doivent être réalisés régulièrement pour garantir l'effectivité de la protection.
La redondance des infrastructures assure la résilience face aux pannes matérielles. Les serveurs en cluster, les connexions internet multiples (fibre, satellite, 4G), les équipements de secours stockés dans des localisations distinctes permettent de maintenir l'opérationnalité malgré la défaillance d'un composant. Cette redondance a un coût que les budgets associatifs peinent à absorber sans expertise externe pour optimiser les investissements.
Quelles procédures de réponse d'urgence doit-on prévoir ?
Au-delà de la prévention technique, l'organisation doit préparer sa réponse aux crises. L'équipe de crise informatique, désignée préalablement, regroupe des compétences techniques, décisionnelles et communicationnelles. Ses membres doivent être joignables 24 heures sur 24, avec des procédures d'escalade claires lorsque la gravité de l'incident dépasse les capacités internes.
La communication de crise, interne et externe, suit des protocoles établis. Les équipes terrain doivent savoir comment fonctionner en mode dégradé, quelles alternatives utiliser, qui contacter. Les partenaires, donateurs et autorités locales doivent être informés selon des modalités préservant la réputation de l'organisation et la confiance dans sa capacité à poursuivre sa mission.
La documentation des procédures d'urgence doit être accessible même lorsque les systèmes principaux sont indisponibles. Versions imprimées stockées hors site, applications mobiles offline, checklists papier pour les situations extrêmes. Ces dispositifs parfois jugés anachroniques sauvent l'opérationnalité lors des catastrophes majeures.
Quelle place pour l'accompagnement professionnel dans la résilience des ONG ?
Un prestataire spécialisé dans l'accompagnement des ONG apporte une expertise critique à l'élaboration et au maintien de ces plans de continuité. Il évalue les risques spécifiques à chaque contexte opérationnel, conçoit des architectures techniques résilientes adaptées aux contraintes de connectivité, met en place des procédures de sauvegarde et de restauration testées, et assure la formation des équipes aux protocoles d'urgence.
Cet accompagnement inclut la réalisation d'exercices de simulation réguliers, testant la réactivité de l'organisation face à des scénarios réalistes. Il prépare des procédures de bascule vers des infrastructures de secours, garantissant des délais de récupération conformes aux impératifs humanitaires. Il établit des relations préalables avec des prestataires de services d'urgence informatique, capables d'intervenir sur des fuseaux horaires couvrant les zones d'opération.
La continuité d'activité des ONG ne se décrète pas, elle se construit méthodiquement avant la crise. L'investissement dans une résilience informatique professionnelle, externalisée vers des spécialistes connaissant les spécificités du secteur humanitaire, préserve non seulement la capacité opérationnelle mais aussi la légitimité de l'organisation. Les donateurs institutionnels exigent désormais des garanties de résilience comme condition de financement. Les bénéficiaires, bien qu'ignorants des détails techniques, dépendent de cette fiabilité pour leur survie. La responsabilité morale de l'ONG impose des standards de continuité d'activité à la hauteur de ses enjeux humanitaires.