PRA, PCA, RTO, RPO : comprendre les différences pour une PME

Le PCA décrit comment l’entreprise continue à fonctionner pendant l’incident. Le PRA décrit comment le système d’information est remis en service après un incident majeur.

Le RTO correspond au délai maximal acceptable avant redémarrage. Le RPO correspond à la quantité maximale de données que l’entreprise accepte de perdre.

Ces notions n’ont de valeur que si elles sont reliées aux métiers : facturation, production, commerce, paie, logistique, relation client, fichiers partagés, messagerie ou applications critiques.

Le Plan de Continuité d’Activité répond à une question simple : comment l’entreprise continue-t-elle à fonctionner lorsque tout ne marche plus normalement ? Il peut s’agir d’une panne informatique, d’une cyberattaque, d’une coupure réseau, d’une indisponibilité de site, d’un prestataire injoignable ou d’une application métier bloquée.

Le PCA n’est pas seulement informatique. Il concerne les métiers, les priorités, les responsabilités, les modes dégradés et les décisions de direction. Il doit préciser ce qui continue, ce qui est suspendu, ce qui est traité manuellement et ce qui nécessite une communication aux clients, fournisseurs ou collaborateurs.

Le Plan de Reprise d’Activité se concentre davantage sur la remise en service du système d’information. Il précise les applications, serveurs, données, accès, prestataires et procédures nécessaires pour redémarrer après une panne majeure, une attaque ransomware, une perte de données ou une indisponibilité d’infrastructure.

Un PRA utile ne consiste pas seulement à dire que l’on restaure les sauvegardes. Il doit indiquer dans quel ordre les éléments sont restaurés, avec quels prérequis, par qui, avec quels accès, quels contrôles et quelles validations métier avant retour à la normale.

Le RTO désigne le délai maximal acceptable avant la reprise d’un service. Derrière ce sigle, la question est très opérationnelle : combien de temps l’entreprise peut-elle fonctionner sans messagerie, sans ERP, sans serveur de fichiers, sans logiciel de production ou sans accès aux commandes ?

Le RTO ne doit pas être fixé uniquement par l’informatique. Il doit être arbitré avec les métiers et la direction. Un délai de reprise très court peut coûter cher. Un délai trop long peut mettre en danger l’activité. Le bon niveau dépend de la criticité réelle du processus concerné.

Le RPO correspond à la perte maximale de données acceptable. Si les sauvegardes sont faites une fois par jour, l’entreprise peut potentiellement perdre plusieurs heures de travail. Pour certaines données, c’est acceptable. Pour d’autres, cela peut être très problématique.

La question doit être posée par type de données : commandes, factures, production, paie, fichiers clients, dossiers RH, données commerciales, documents partagés. Toutes les données n’ont pas la même valeur et ne nécessitent pas forcément le même niveau de protection.

Une sauvegarde disponible est indispensable, mais elle ne garantit pas à elle seule la reprise d’activité. Encore faut-il savoir si elle est complète, restaurable, protégée contre le ransomware, suffisamment récente et compatible avec les priorités métier.

Le vrai sujet n’est donc pas seulement : avons-nous des sauvegardes ? La bonne question est plutôt : savons-nous redémarrer l’activité dans un délai acceptable, avec une perte de données acceptable, dans un ordre compris et testé ?

La bonne approche consiste à commencer par les activités critiques plutôt que par les outils. Quels services ne peuvent pas s’arrêter longtemps ? Quelles données ne peuvent pas être perdues ? Quels processus peuvent fonctionner temporairement en mode dégradé ?

À partir de ces réponses, l’entreprise peut construire une première matrice simple : activité, application, données, délai de reprise souhaité, perte de données acceptable, prestataire concerné, solution de contournement et actions à mener.

PRA, PCA, RTO et RPO sont souvent présentés comme des notions techniques. Pour une PME, ce sont surtout des outils d’arbitrage. Ils permettent de décider ce qui compte vraiment, ce qui doit être protégé, ce qui peut attendre et ce qui doit être testé avant la crise.

Une continuité d’activité sérieuse ne se construit pas le jour de l’incident. Elle se prépare lorsque l’entreprise peut encore décider calmement.