Exécuter un test de sortie reproductible

Le test ne demande pas si la sortie paraît possible. Il vérifie qu’un service minimum identifié peut être restauré sur une cible donnée, avec les actifs autorisés et dans les limites approuvées par l’autorité du mandat.

La production peut rester intacte : l’exercice utilise un état source contrôlé et une cible isolée. Toute extrapolation au système complet est écrite comme une limite.

Six prérequis empêchent de confondre un échec de préparation avec une impossibilité de sortie.

• Inventaire — actifs et dépendances du périmètre disponibles
• Cible — capacité de recevoir et d’exécuter les actifs retenus
• Droits — export, usage, copie, transfert et suppression instruits
• Critères — seuils et fonctions critiques approuvés avant l’exécution
• Sécurité — fenêtre, retour arrière et conditions d’arrêt définis
• Autorités — responsables source, cible, sécurité et décision nommés

Chaque phase reprend les identifiants du registre et émet une trace datée. Une phase non exécutée reste visible dans la conclusion.

Le manifeste d’export ne suffit pas. Les volumes, empreintes, schémas, métadonnées, conventions temporelles et droits d’accès sont contrôlés, puis les données sont effectivement lues ou requêtées sur la cible.

Une exclusion peut être légitime. Elle doit alors être exhaustive, justifiée, reliée à son effet sur le service et acceptée avant que la conclusion soit signée.

La cible est reconstruite à partir d’artefacts versionnés. Les interfaces, identités, observabilité, sauvegardes et procédures d’incident sont rejouées. Les secrets sont recréés sur la cible, jamais copiés en clair.

Une équivalence fonctionnelle n’est pas une identité technique. Les fonctions communes et l’écart admissible entre source et cible sont définis avant la comparaison.

Le chronomètre n’est qu’une mesure parmi d’autres. Le dossier conserve aussi la perte de données, les opérations manuelles et les appels résiduels à la source.

• Couverture — actifs critiques présents ou exclusion acceptée
• Intégrité — aucun écart critique non expliqué
• Parcours — fonctions retenues conformes au seuil préalable
• Reprise — durée et perte de données sous les objectifs approuvés
• Autonomie — gestes critiques exécutés sans aide imprévue
• Effacement — inaccessibilité source démontrée selon le cadre applicable

Le responsable suspend l’exercice si les données de production risquent d’être altérées, si un secret échappe au contrôle, si le retour à l’état sûr devient impossible ou si une dépendance découverte sort du périmètre autorisé.

Chaque arrêt conserve l’heure, le fait observé, l’autorité consultée et la condition de reprise. Le retour arrière est exécuté ou son impossibilité apparaît comme une réserve.

La conclusion distingue sortie démontrée, conditionnelle et non démontrée. Elle identifie les phases non exécutées, les écarts, les dépendances résiduelles, les responsables et la date de réexamen.