En août, les effectifs d’une société de gestion se réduisent : le back-office tourne en équipe restreinte, le RCCI est en congés. Mais vos services critiques, messagerie, accès aux outils de gestion, VPN, sauvegardes, ne prennent pas de vacances. Les marchés non plus, et les attaquants encore moins : les périodes creuses sont justement celles où une intrusion passe le plus longtemps inaperçue.

La vraie question n’est pas « qui décroche le téléphone en août ? ». C’est « votre supervision, quelqu’un la regarde-t-il vraiment, et comment le prouvez-vous ? »

Une supervision, oui. Regardée par qui ?

Presque tous les prestataires cochent la case « supervision ». Dans les faits, cela se résume souvent à un outil qui remonte des alertes sur une console que personne ne regarde. Un tableau de bord qui clignote seul ne détecte rien : sans analystes pour trier, qualifier et réagir, l’alerte reste dans la file jusqu’à ce que, chez vous, quelqu’un remarque enfin la panne.

Un incident de sécurité qui tombe le 15 août à 3h du matin ne se traite pas avec une supervision « au fil de l’eau, dès qu’on a le temps ». Il faut une équipe qui surveille en continu et qui intervient.

Chez ITAIA, il n’y a pas d’« astreinte estivale » au rabais, parce qu’il n’y a pas de régime d’été du tout : le support reste ouvert 7j/7 de 8h à 20h, week-ends et jours fériés compris, et le SOC managé tourne 24h/24 toute l’année. La prise en charge démarre en moins de 10 minutes en moyenne et 97 % de nos SLA sont respectés, chiffres publics et mesurés sous certification ISO 9001.

Ce que cela donne concrètement, heure par heure, est décrit dans trois situations datées sur notre page d’engagements : un appel un vendredi à 19h, un chiffrement qui démarre un mardi à 23h40, une panne bénigne un samedi à 22h. Les trois réponses ne sont pas les mêmes, et la troisième est celle qui rend les deux autres crédibles.

DORA ne ferme pas en août

Pour une société de gestion régulée AMF ou ACPR, la résilience opérationnelle numérique est une obligation permanente. DORA, applicable depuis janvier 2025, n’admet pas de fenêtre estivale : la détection des incidents, les délais de notification et la continuité doivent tenir toute l’année.

Et 2026 est l’année où le régulateur passe de la question à la démonstration. Nous l’avons détaillé dans ce que veut dire l’ACPR quand elle passe de « où en êtes-vous ? » à « montrez-moi ». Appliqué au mois d’août, cela signifie une chose simple : on ne vous demandera pas si vous étiez couvert, on vous demandera de le montrer, par des journaux, des tickets horodatés et des SLA tenus sur la période.

Les trois questions à poser avant de partir

  • Qui regarde ? Des analystes qui trient et qualifient les alertes, ou une console que personne n’ouvre ?
  • En combien de temps réagit-on ? Un délai de prise en charge chiffré et opposable, ou un « on vous rappelle » ?
  • Comment le prouver ? Des journaux et un reporting exploitables si l’ACPR vous demande de justifier votre couverture d’août, ou rien à montrer ?

Si l’une de ces trois réponses est floue, votre continuité repose sur un outil que personne ne surveille plutôt que sur un dispositif. Or DORA, et vos investisseurs, attendent un dispositif réellement opéré.

L’été, le bon moment pour vérifier, pas pour découvrir

Avant les congés, trois contrôles courts valent mieux qu’un audit qu’on repousse.

Vos sauvegardes se testent-elles toutes seules ? Une sauvegarde dont la restauration n’a jamais été rejouée est une hypothèse, pas une garantie.

Vos accès distants sont-ils à jour ? Juillet a été chargé de ce côté : le CERT-FR a publié des alertes sur SonicWall Secure Mobile Access le 15 juillet, sur Microsoft SharePoint le 22, et sur F5 BIG-IP Access Policy Manager le 28. Les trois concernent des équipements de bordure, exactement ceux qu’un attaquant vise quand il sait que l’équipe est réduite.

Votre plan de continuité nomme-t-il les gens ? Qui notifier, dans quel ordre, avec quel numéro, en période d’effectifs réduits. Un plan qui désigne des fonctions plutôt que des personnes joignables ne sert à rien un 15 août.

Ce sont des vérifications d’une demi-heure. Elles évitent de découvrir un angle mort le jour où il n’y a personne pour le combler.

En résumé

En août, vos équipes lèvent le pied, pas votre surveillance. La différence entre une astreinte et une supervision continue, c’est ce que vous pourrez démontrer à la rentrée.

Vous voulez vérifier votre couverture avant les congés ? Prenez 60 minutes avec un ingénieur : vous repartez avec un état des lieux et un ordre de priorité, sans engagement.