Plan de reprise informatique : une trame pour PME

Un plan de reprise d’activité informatique décrit les priorités, responsables, accès et actions nécessaires après une interruption. Il doit être adapté aux applications de la PME et vérifié par des exercices.

Types de situations d’urgence

Le plan de reprise d’activité doit prendre en compte trois types principaux d’événements susceptibles de conduire à des conséquences catastrophiques.

Catastrophes naturelles

• Incendies.
• Inondations.
• Tremblements de terre.
• Pandémies.

Catastrophes liées à l’infrastructure

• Pannes de courant.
• Incendies ou ruptures de canalisations d’eau.
• Effondrement de bâtiments.
• Intrusions malveillantes sur site et dommages physiques.

Incidents technologiques

• Panne de serveur.
• Défaillance du logiciel sur un serveur local.
• Panne d’une application SaaS dans le cloud.
• Perte de données due à une panne ou à un virus.
• Panne de l’infrastructure réseau.
• Perte de la connectivité avec le fournisseur de services Internet.

Stratégies de PRA (DRP)

Disaster Recovery Plan (DRP) ou stratégie de PRA correctement élaborée inclut une estimation du temps nécessaire pour rétablir les services clés. Cette stratégie permet à l’entreprise de faire face plus rapidement aux incidents, de réduire le temps d’arrêt et de limiter les dommages financiers et de réputation. Il existe quatre principales stratégies de PRA.

Reprise locale

Comme les applications, les systèmes et les données sont déployés sur site, la stratégie de reprise doit prévoir la perte d’un ou de plusieurs composants du système. Les grandes entreprises peuvent utiliser deux centres de données d’entreprise géographiquement distribués pour récupérer leurs données et leurs applications. Les petites organisations peuvent utiliser un serveur dédié pour les sauvegardes.

Reprise dans le cloud d’un fournisseur

Cette approche réduit les coûts pour l’organisation en éliminant la nécessité d’investir dans du matériel de secours. Il est important de noter que grâce à la forte concurrence sur le marché des services cloud, les utilisateurs peuvent obtenir des solutions abordables et fiables. De plus, les fournisseurs possèdent l’expertise pour mettre en œuvre la PRA et peuvent proposer des options de solution.

Reprise en tant que service (DRaaS)

Les fournisseurs de cloud proposent la reprise d’activité en tant que service (DRaaS). En substance, il s’agit d’une plateforme de secours chaude pour les ressources en cas de catastrophe. Le DRaaS utilise le cloud pour fournir aux utilisateurs des copies d’applications depuis le centre de données d’entreprise. Cela permet aux organisations de réagir rapidement et de restaurer les applications critiques.

Reprise par virtualisation des ressources

La virtualisation permet de déployer rapidement une copie d’une machine virtuelle à  partir du cloud ou d’un serveur de secours.

Ce qu’il faut inclure dans un Plan de Reprise d’Activité (PRA)

Un Plan de Reprise d’Activité (PRA) doit contenir plusieurs sections, notamment :

Description et objectifs du PRA :

• Une description détaillée de ce qu’est le PRA et de son objectif principal.
• Les raisons pour lesquelles le PRA est nécessaire pour l’organisation.

Fréquence des tests sur les ressources de secours :

• La périodicité à laquelle les tests de récupération doivent être effectués pour s’assurer de leur efficacité.
• Les procédures de test pour évaluer la capacité du PRA à fonctionner en situation réelle.

Procédures de récupération et liste du personnel responsable de la mise en œuvre du plan :

• Les étapes précises à suivre pour récupérer les systèmes, les données et les services essentiels.
• La liste des membres du personnel responsables de l’exécution du PRA et de la coordination pendant une situation d’urgence.
• Les mesures à prendre en cas d’indisponibilité de membres clés de l’équipe en cas d’urgence.

Objectifs et paramètres du Plan de Reprise d’Activité

Les objectifs du PRA sont les suivants :

• Minimiser l’impact négatif d’une catastrophe sur les opérations de l’organisation.
• Rétablir la fonctionnalité des systèmes et des services aussi rapidement que possible.

Avant de rédiger le plan, une évaluation de l’impact potentiel d’une catastrophe sur l’activité de l’entreprise est réalisée. En fonction de cette évaluation, des priorités sont définies, et des paramètres clés de récupération sont définis, notamment le RTO (Objectif de Temps de Récupération) et le RPO (Objectif de Point de Récupération).

• Le RTO (Objectif de Temps de Récupération) représente la période pendant laquelle un système est hors service après une catastrophe, exprimé en minutes, heures ou jours. Le RTO correspond au temps d’arrêt acceptable entre la panne et la reprise des opérations. Par exemple, une organisation peut viser à reprendre ses activités dans les 4 heures pour éviter des perturbations importantes.
• Le RPO (Objectif de Point de Récupération) détermine la quantité maximale de données qui peuvent être perdues en cas de catastrophe. Par exemple, un RPO d’une heure signifie que les données peuvent être perdues sur une période d’une heure. Pour atteindre cet objectif, les sauvegardes doivent être effectuées au moins toutes les heures.

Ensuite, des stratégies de récupération pour les applications et les données sont développées en fonction de ces paramètres.

Personnel

Le PRA doit indiquer clairement le personnel responsable de la mise en œuvre du PRA. Il doit également prévoir des mesures en cas d’absence de personnel clé en cas d’urgence. Une coordination efficace du personnel est essentielle pour assurer une récupération réussie.

Matériel informatique

Lors de l’élaboration du PRA, une organisation doit inventorier et répertorier ses actifs matériels et logiciels, ainsi que tous les services cloud nécessaires à son fonctionnement. L’importance de chaque actif pour l’entreprise est évaluée, qu’il soit détenu en propre, loué ou utilisé en tant que service SaaS.

Les dépendances électriques font aussi partie de cet inventaire. Notre guide sur les onduleurs pour NAS et serveurs détaille le dimensionnement de l’autonomie, les commandes d’arrêt et les tests de remise en service.

De plus, toutes les catastrophes passées doivent être documentées et décrites, ainsi que les mesures prises pour les résoudre.

Procédures de sauvegarde et de récupération

Le PRA doit spécifier comment les sauvegardes de chaque ressource de données sont créées, y compris leur emplacement, les appareils utilisés et les dossiers concernés. Il doit également décrire comment le département informatique doit les restaurer à partir des sauvegardes.

Emplacement des ressources pour la reprise d’urgence

Un plan de reprise d’activité fiable doit prévoir une infrastructure de reprise d’urgence à chaud. En substance, il s’agit d’un centre de données de secours qui stocke des copies de tous les systèmes critiques. L’organisation bascule vers ce centre de données de secours en cas de défaillance du centre de données principal.

Tests du plan

Il est essentiel de tester régulièrement le Disaster Recovery Plan (DRP) pour vérifier le respect des objectifs RTO et RPO définis et pour identifier et corriger les éventuelles lacunes. Les tests peuvent prendre différentes formes, notamment des exercices en salle de classe, la vérification de la résilience des applications, la vérification de la résilience de l’infrastructure, la simulation de pannes dans un environnement de test, et la simulation de pannes dans l’environnement de production.

Il est important de comprendre que le PRA ne doit pas être élaboré une seule fois et oublié. Les technologies évoluent rapidement, il est donc nécessaire de réaliser des audits réguliers et d’ajuster le plan en fonction des besoins actuels de l’organisation.

Trame de PRA pour une PME

Conservez la trame dans un emplacement accessible en cas d’indisponibilité du système principal, avec les protections adaptées aux informations qu’elle contient.

Pour approfondir ce sujet

test de restauration, guide de sauvegarde PME.

Rendre le plan de reprise utilisable pendant une interruption

Le plan doit rester disponible si la messagerie, le serveur ou l’administrateur habituel ne le sont plus. Préparez les contacts, les validations, l’ordre de reprise et l’emplacement des procédures. Les secrets restent dans un moyen sécurisé distinct du document diffusé.

Faites parcourir le scénario par les responsables métier et techniques. Vérifiez les accès à la copie, le matériel ou l’environnement de remplacement et les conditions de validation. Mesurez jusqu’à une tâche réellement terminée par l’utilisateur, puis documentez les écarts et leur traitement.

Exemple illustratif pour une PME à Genève. Une entreprise multisite genevoise simule l’indisponibilité de son site principal. L’exercice vérifie les contacts depuis l’autre bureau, l’accès aux procédures et la reprise d’une application de démonstration. Il révèle les dépendances au site initial avant qu’une urgence ne les rende bloquantes.

Pour relier les copies aux objectifs de récupération, poursuivez avec RTO : le délai de reprise visé. La validation porte sur les accès, les données récupérées et le travail réellement possible.

Accompagner votre entreprise à Genève

Une copie existe-t-elle, et votre équipe saurait-elle la restaurer ? Pixel IT peut vous aider à examiner le périmètre, la surveillance et les tests de vos sauvegardes dans le cadre de votre infogérance informatique à Genève. Décrivez votre organisation actuelle.

Documentation officielle

• OFCS : sauvegarde des données