Modèles et enregistrements · ISO 27001 · Chapitre A.5.30 y A.8.13
Registre des tests de continuité et de sauvegarde
La preuve que les sauvegardes peuvent être restaurées et que les services repartent dans le délai convenu, et pas seulement que le plan existe.
En une phrase
Le registre des tests de continuité et de sauvegarde documente ce qui a été testé, avec quel objectif de durée de rétablissement, quel résultat a été obtenu et ce qui a été corrigé ; c’est la preuve des mesures 5.30, qui demande de planifier, mettre en œuvre, maintenir et tester la préparation des TIC, et 8.13, qui demande de tester régulièrement les sauvegardes.
- Où la norme l’exige
- ISO 27001 · Chapitre A.5.30 y A.8.13 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Bonne pratique Preuve des mesures 5.30 et 8.13 de l’Annexe A
- Qui le renseigne
- Responsable informatique Le propriétaire du service valide que le résultat atteint ses objectifs
- Quand
- Selon le plan de tests Restaurations de sauvegardes plus fréquentes ; tests complets de bascule au moins une fois par an
- Durée de conservation
- Fixée par l’organisme L’ISO/IEC 27001 ne fixe aucune durée : elle demande de décider de la conservation et de l’élimination des informations documentées (7.5.3). Couvrir le cycle de certification de trois ans permet de présenter l’historique au renouvellement.
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
La mesure 5.30, nouvelle dans l’édition 2022, demande que la préparation des TIC à la continuité d’activité soit planifiée, mise en œuvre, maintenue et testée en fonction des objectifs de continuité. La 8.13 demande de conserver des copies de sauvegarde de l’information, des logiciels et des systèmes, et de les tester régulièrement.
Un plan de continuité jamais testé reste une hypothèse. Ce que l’auditeur demande, c’est le résultat du dernier test et ce qui a changé ensuite.
La norme ne fixe ni le type de test ni sa fréquence ; l’ISO 22301 est la référence si l’on veut un système de continuité complet.
Structure
Les champs que doit comporter le modèle
- Service ou système testé et type de test (restauration, bascule, exercice sur table)
- Objectif : durée maximale d’interruption et perte de données admissibles
- Date, participants et scénario
- Résultat mesuré par rapport à l’objectif
- Anomalies relevées pendant le test
- Actions d’amélioration, responsable et délai
- Conclusion : réussi ou non réussi
Exemple
Exemple : restauration de la base de données de production
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Test | Restauration complète de la base de données de la plateforme dans un environnement isolé |
| Objectif | Rétablir en moins de 4 heures avec une perte maximale de 24 heures de données |
| Date et participants | 21 mai 2026 · responsable infrastructure et deux techniciens |
| Résultat | Restaurée en 5 h 10 min · données intègres jusqu’à la sauvegarde de 02:00 |
| Anomalie | La procédure ne prévoyait pas la régénération des clés de chiffrement |
| Action | Mettre à jour la procédure et refaire le test · 30 juin |
| Conclusion | Non réussi · refait le 26 juin : 3 h 20 min, réussi |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- On vérifie que la sauvegarde « s’est bien terminée », jamais qu’elle peut être restaurée.
- Il n’existe pas d’objectifs de rétablissement auxquels comparer le résultat.
- Les tests ratés ne sont pas enregistrés ou ne donnent lieu à aucune action.
- Le plan de continuité n’a pas été mis à jour après le changement de fournisseur cloud.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les tests de reprise et les plans de continuité sont documentés dans la plateforme.
- 2Le plan de continuité est un enregistrement versionné, et chaque test est relié aux actions qu’il génère.
- 3Les actions qui en découlent sont attribuées avec responsable et échéance, avec alerte en cas de retard.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Faut-il être certifié ISO 22301 ?
Non. L’ISO/IEC 27001 demande la préparation des TIC à la continuité, et non un système complet de continuité d’activité. L’ISO 22301 est utile comme guide, mais ce n’est pas une exigence.
Un exercice sur table suffit-il ?
Dans le cadre du plan de tests, oui : il valide les rôles et la communication. Mais il ne remplace pas la restauration réelle des sauvegardes, qui est ce que démontre la mesure 8.13.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Fonctionnement
Le fonctionnement traduit l’appréciation des risques en mesures réelles : accès, chiffrement, sauvegardes et…
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle d’appréciation des risques de sécurité ISO 27001
Comment documenter l’appréciation des risques de sécurité exigée par l’ISO 27001 : critères d’acceptation…
Modèle de plan de traitement des risques ISO 27001
Ce que doit inclure le plan de traitement des risques de l’ISO 27001 (6.1.3 e) : option, mesures…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022