PCA et PRA : préparer la continuité d'activité du SI
Une panne majeure, une cyberattaque, un incendie chez un hébergeur : la question n'est pas de savoir si un incident grave arrivera, mais si l'organisation saura continuer à travailler, puis redémarrer vite. C'est l'objet du plan de continuité et du plan de reprise d'activité.
À retenir
- Le PCA (plan de continuité d'activité) maintient l'activité essentielle pendant l'incident ; le PRA (plan de reprise) remet le SI en état de fonctionner ensuite.
- Deux mesures cadrent tout : le RTO (durée maximale d'interruption acceptable) et le RPO (quantité maximale de données que l'on accepte de perdre).
- Une sauvegarde qui n'a jamais été restaurée en test ne prouve rien.
- Un plan non testé et non connu des équipes est un plan qui ne fonctionnera pas le jour J.
PCA, PRA : de quoi parle-t-on ?
Les deux termes sont souvent confondus. Le plan de continuité d'activité (PCA) décrit comment l'organisation continue d'assurer ses activités essentielles pendant une perturbation, y compris en mode dégradé (procédures manuelles, site de repli, télétravail). Le plan de reprise d'activité (PRA) décrit, lui, comment le système d'information est remis en service après un sinistre.
Le PRA est donc une composante, côté informatique, de la démarche de continuité. Le PCA est piloté avec les métiers ; le PRA l'est surtout par la DSI.
Deux notions à maîtriser : RTO et RPO
- RTO (Recovery Time Objective) : la durée maximale pendant laquelle un service peut rester indisponible avant que les conséquences deviennent inacceptables.
- RPO (Recovery Point Objective) : la quantité maximale de données que l'on accepte de perdre, exprimée en temps. Un RPO d'une heure signifie que l'on peut perdre au plus la dernière heure de données.
Ces objectifs ne se décident pas en informatique seule : ce sont les métiers qui disent ce qu'une heure d'arrêt de la facturation ou de la prise de commande leur coûte. La DSI vérifie ensuite que l'architecture permet de les tenir, et à quel prix.
Les cinq piliers d'une continuité solide
- Connaître ses services critiques : lesquels, pour quels métiers, avec quelles dépendances ? Une analyse d'impact sur l'activité (bilan d'impact) formalise cette priorisation.
- Sauvegarder correctement : la règle dite 3-2-1 recommande trois copies des données, sur deux supports différents, dont une hors site. Ajoutez une copie protégée contre la modification ou la suppression, notamment face aux rançongiciels.
- Prévoir la redondance là où le RTO l'exige : doublement des composants critiques, bascule vers un second site ou un autre hébergeur.
- Documenter les procédures : qui décide du déclenchement, qui fait quoi, dans quel ordre on redémarre, comment on communique en interne et en externe.
- Tester : restauration d'une sauvegarde, exercice de bascule, simulation de crise. Chaque test révèle des écarts, c'est son but.
Les points de fragilité les plus fréquents
- Des sauvegardes réalisées mais jamais restaurées en test.
- Des sauvegardes stockées sur le même réseau que les systèmes, vulnérables à la même attaque.
- Un PRA rédigé une fois puis jamais mis à jour malgré les changements d'architecture.
- Des dépendances cachées : un service d'authentification, un DNS, un prestataire dont personne n'a mesuré la criticité.
- Des équipes qui ne connaissent pas leur rôle en cas de crise, ou des coordonnées de contact périmées.
- Des fournisseurs critiques dont les engagements de service ne couvrent pas vos objectifs de reprise.
Comment progresser pas à pas
- Évaluez votre situation actuelle avec l'audit de continuité d'activité : dix domaines, du plan de continuité aux tests d'interruption.
- Identifiez les trois à cinq services vraiment vitaux et fixez, avec les métiers, un RTO et un RPO réalistes pour chacun.
- Vérifiez que votre architecture et vos sauvegardes permettent de les tenir ; sinon, chiffrez l'écart.
- Planifiez un test de restauration dans les trois mois, puis un exercice annuel.
- Intégrez la continuité dans la gestion des changements : toute évolution majeure doit se demander ce qu'elle change au plan de reprise.
Le framework DYNAMAP SI traite la gestion des risques comme un module à part entière, et la boutique propose un ouvrage consacré au PRA.
Un mot sur la gestion de crise
Au-delà des aspects techniques, une crise se gagne par l'organisation : une cellule de crise identifiée, des rôles clairs, un canal de communication qui ne dépend pas du SI touché et des messages préparés à l'avance. Un exercice de simulation, même court, fait gagner un temps précieux le jour venu.
Si vous souhaitez préparer ou évaluer votre dispositif, contactez-moi : je peux vous accompagner sur l'analyse d'impact, la cible de reprise et les premiers exercices.
Pour mesurer où vous en êtes sur ce sujet, lancez l'audit « Continuité d'activité et résilience » : quelques minutes suffisent, sans compte.