PRA et PCA pour PME : préparer une reprise informatique réaliste

PRA et PCA : deux objectifs complémentaires

Le plan de reprise d’activité organise le rétablissement des systèmes, applications et données après une interruption. Le plan de continuité prévoit comment maintenir les activités prioritaires pendant la perturbation, éventuellement avec des outils dégradés ou des procédures manuelles.

Dans une PME, les deux sujets se rejoignent rapidement. Une application comptable peut être restaurée, mais rester inutilisable si l’accès Internet, l’authentification, le prestataire ou les données d’un fournisseur ne sont pas disponibles. La démarche doit donc partir des activités, pas seulement des serveurs.

Identifier ce qui doit repartir en premier

Chaque responsable métier précise les activités qui ne peuvent pas attendre, les conséquences d’un arrêt et les ressources nécessaires. Cette analyse fait apparaître les dépendances parfois oubliées : annuaire, DNS, téléphonie, messagerie, licences, accès VPN, clés de chiffrement ou personnes disposant d’un savoir unique.

• Activités prioritaires et délais maximaux d’interruption.
• Applications, données et équipements indispensables.
• Fournisseurs et accès externes nécessaires.
• Effectifs minimaux et compétences critiques.
• Solutions temporaires acceptables en mode dégradé.

Définir des objectifs de reprise réalistes

Le RTO correspond au délai visé pour remettre un service en fonctionnement. Le RPO correspond à la quantité de données que l’entreprise accepte de perdre, exprimée en durée. Ces objectifs doivent être cohérents avec les sauvegardes et les moyens disponibles.

Demander une reprise en quelques minutes pour toutes les applications entraîne des coûts importants et souvent inutiles. À l’inverse, découvrir après l’incident qu’une restauration nécessite deux jours alors que l’activité ne peut s’arrêter qu’une demi-journée expose directement l’entreprise. Les objectifs doivent être arbitrés par les métiers et la direction.

Vérifier la stratégie de sauvegarde

Une sauvegarde utile est identifiable, surveillée, isolée et restaurable. La copie doit résister au scénario que vous cherchez à traiter : panne, erreur humaine, suppression, ransomware, compromission d’un compte administrateur ou indisponibilité d’un prestataire.

Il faut connaître les données réellement couvertes, les fréquences, les durées de conservation, les personnes pouvant supprimer les sauvegardes et les dépendances nécessaires à la restauration. Une copie immuable ou hors ligne peut limiter le risque qu’un attaquant détruise simultanément la production et les sauvegardes.

Documenter sans créer un classeur inutilisable

Le plan doit rester accessible lorsque les outils habituels ne le sont plus. Des fiches courtes sont souvent plus efficaces qu’un document unique difficile à maintenir. Elles précisent les contacts, les décisions attendues, les prérequis, les procédures techniques et les points de validation.

Une copie contrôlée du plan, des annuaires et des informations indispensables doit être disponible hors du système principal. Les données sensibles et secrets techniques restent protégés avec des droits adaptés.

Tester la restauration et les décisions

Un test ne consiste pas uniquement à vérifier qu’un fichier peut être téléchargé. Il doit confirmer qu’un service complet peut être remis en fonctionnement, que les données sont cohérentes et que les utilisateurs peuvent reprendre leur travail. Les enseignements sont consignés puis intégrés au plan.

Un exercice de crise permet en parallèle de tester l’alerte, la répartition des rôles, la communication et les arbitrages. Cybeary peut accompagner cette démarche dans le cadre d’un projet de continuité et résilience.