Coupure d'électricité prolongée, panne de la baie de stockage, incendie dans la salle serveur, rançongiciel : face à un incident majeur, certaines entreprises continuent de servir leurs clients pendant que d'autres restent à l'arrêt plusieurs jours. La différence ne tient pas à la chance. Elle tient à deux documents souvent confondus : le PCA et le PRA.
Deux plans, deux objectifs
Le Plan de Continuité d'Activité (PCA) vise à maintenir les activités essentielles pendant la crise, éventuellement en mode dégradé. Le Plan de Reprise d'Activité (PRA) vise à rétablir le système d'information après une interruption, dans des délais définis à l'avance.
Autrement dit : le PCA cherche à éviter l'arrêt, le PRA organise le redémarrage quand l'arrêt n'a pas pu être évité.
| PCA — Continuité | PRA — Reprise | |
|---|---|---|
| Objectif | Ne pas interrompre les activités critiques | Redémarrer après une interruption |
| Périmètre | Toute l'organisation : métiers, locaux, personnes, fournisseurs, IT | Principalement le système d'information |
| Moment | Pendant la crise | Après la crise |
| Exemples de mesures | Réplication vers un site secondaire, télétravail, procédures manuelles de secours | Restauration des sauvegardes, reconstruction des serveurs, bascule vers un datacenter de secours |
| Indicateur clé | Interruption proche de zéro pour les activités vitales | RTO et RPO respectés |
Tout commence par le bilan d'impact
Avant d'acheter une solution, il faut savoir ce que l'on protège. Le bilan d'impact sur l'activité (BIA) consiste à interroger chaque métier : quelles sont vos activités vitales ? Combien de temps pouvez-vous fonctionner sans tel outil ? Quelles données ne pouvez-vous pas perdre ?
De ce bilan découlent deux chiffres pour chaque application :
Plus le RTO et le RPO sont courts, plus la solution est coûteuse. Tout l'enjeu est de réserver les dispositifs les plus exigeants aux applications qui le justifient vraiment.
Choisir le bon niveau de protection
Sauvegarde et restauration
RTO de plusieurs heures à quelques jours. Adapté aux applications peu critiques. C'est le socle indispensable de tout PRA.
Réplication asynchrone vers un site de secours
RTO de quelques minutes à quelques heures, RPO de quelques minutes. Les machines virtuelles critiques sont répliquées en continu et peuvent être démarrées sur le site secondaire.
Haute disponibilité active-active
RTO et RPO proches de zéro. Réservée aux activités qui ne tolèrent aucune interruption : paiement, production industrielle, services en ligne critiques.
Les plateformes hyperconvergées comme Nutanix, associées à une solution de sauvegarde et de réplication comme Veeam, permettent de combiner ces niveaux sur une même infrastructure, application par application.
Ce que doit contenir un bon plan
- Les scénarios couverts : perte de site, panne d'infrastructure, cyberattaque, indisponibilité d'un fournisseur clé.
- La cellule de crise : qui décide, qui communique, qui exécute — avec des suppléants.
- Les procédures pas à pas de bascule et de retour à la normale.
- La liste des contacts internes, fournisseurs et autorités, disponible hors ligne.
- Le plan de communication vers les clients, les partenaires et les collaborateurs.
Un plan non testé est un plan qui échouera
Nous le constatons à chaque audit : les plans rédigés mais jamais éprouvés contiennent presque toujours des surprises — un serveur oublié, une dépendance DNS non documentée, un mot de passe que seule une personne en congé connaît.
| Type de test | Fréquence conseillée |
|---|---|
| Relecture du plan et des contacts | Tous les 6 mois, et après chaque changement majeur |
| Exercice sur table avec la cellule de crise | Une fois par an |
| Restauration ou bascule d'une application critique | Au moins une fois par an, idéalement par trimestre |
| Test de bascule complète du site | Une fois par an pour les organisations les plus exposées |
En résumé
- Le PCA maintient l'activité pendant la crise ; le PRA rétablit le SI après.
- Le bilan d'impact fixe les RTO et RPO de chaque application.
- Adaptez le niveau de protection à la criticité réelle, pas à l'intuition.
- Prévoyez le scénario rançongiciel et testez le plan chaque année.
Besoin d'un regard expert sur votre situation ?
Nos ingénieurs évaluent votre environnement et vous proposent un plan d'action concret, avec une preuve de concept gratuite et sans engagement.
Intégrateur cybersécurité et infrastructures IT à Dakar, partenaire ManageEngine, Palo Alto Networks, Cloudflare et Veeam. Nos articles s'appuient sur ce que nous observons chaque jour sur le terrain, chez nos clients publics et privés.