Questions fréquentes
Quelle différence entre un PRA et un PCA ?
Le PRA, plan de reprise d'activité, décrit comment remettre le système d'information en marche après un sinistre et dans quel ordre : il suppose une interruption. Le PCA, plan de continuité d'activité, décrit comment continuer à travailler malgré le sinistre, y compris sans informatique et sans les locaux. Le PCA englobe le PRA et y ajoute l'organisation humaine, ce qui en fait un document de direction et non un document technique.
Qu'est-ce que le RTO ?
Le RTO, recovery time objective, est la durée d'interruption acceptable : combien de temps l'entreprise peut fonctionner sans un outil avant que les conséquences deviennent graves. C'est une décision de direction et non un paramètre technique, et elle se prend par application, la messagerie et l'ERP n'ayant pas la même criticité.
Qu'est-ce que le RPO ?
Le RPO, recovery point objective, est la quantité de travail qu'on accepte de perdre. Si la dernière sauvegarde exploitable date de la nuit dernière, le RPO est de 24 heures et une journée de saisie est à refaire. Avec le RTO, c'est le chiffre qui détermine le dispositif technique nécessaire et son coût.
Une sauvegarde suffit-elle comme PRA ?
Non. Une sauvegarde conserve les données, un PRA décrit comment repartir : avec quel matériel, dans quel ordre, par qui, en combien de temps, et avec quelles dépendances externes. La plupart des PRA de PME sont en réalité des sauvegardes rebaptisées, et la différence se découvre le jour où il faut effectivement redémarrer.
La haute disponibilité remplace-t-elle un PRA ?
Non. Elle protège de la panne d'un équipement, pas d'un sinistre logique : deux serveurs en parallèle reproduisent fidèlement un chiffrement par rançongiciel ou une suppression, exactement comme le fait le RAID. Les deux dispositifs répondent à des questions différentes et se cumulent plutôt qu'ils ne se remplacent.
Combien coûte un PRA pour une PME ?
Cela dépend entièrement du RTO visé, et le coût croît très vite quand le délai diminue. Pour la plupart des PME, le meilleur rapport se situe autour d'un RTO de 24 à 48 heures, obtenu par des sauvegardes pouvant être démarrées comme machines virtuelles chez un hébergeur, sans attendre du matériel. Chiffrer le RTO en premier évite de payer une protection dont on n'a pas besoin.
À quelle fréquence tester un PRA ?
Au minimum une restauration réelle mesurée une fois par an, avec le temps consigné et comparé au RTO annoncé, et une revue du plan à chaque changement significatif de l'infrastructure. Les tests révèlent systématiquement que la durée réelle est plus longue que prévu, souvent d'un facteur deux ou trois.
Où conserver le plan de reprise ?
Hors du système d'information. Nous constatons régulièrement que le PRA est stocké sur le serveur de fichiers, c'est-à-dire exactement l'élément indisponible au moment où on en a besoin. Un plan doit être accessible sur papier dans un classeur et dans un emplacement indépendant que plusieurs personnes savent atteindre depuis leur téléphone, avec les accès au coffre à mots de passe.
Qu'oublie-t-on le plus souvent dans un PRA ?
La téléphonie, qui s'arrête avec le réseau et rend l'entreprise injoignable pendant la crise. L'accès Internet, sans lequel une restauration depuis le cloud ne s'exécute pas. Les postes de travail, les serveurs étant relevés sans que les collaborateurs aient de machine. Les personnes, le plan reposant souvent sur une seule qui sait faire. Et les engagements de délai des prestataires, qui plafonnent les vôtres.
NIS2 et DORA exigent-ils un PRA ?
Ces textes n'imposent pas un document nommé PRA mais demandent des mesures de continuité et, surtout, des tests de résilience documentés et traçables. Une politique écrite jamais éprouvée ne répond pas à cette attente. Pour une entreprise concernée, l'exigence réelle porte donc moins sur l'existence du plan que sur la preuve qu'il a été testé.
