Un serveur qui chauffe, un ransomware qui chiffre les fichiers, une mauvaise manipulation qui efface une base clients. Chaque entreprise vit un jour ou l’autre avec la peur que son système d’information s’arrête. Mais la différence entre une simple alerte et une catastrophe se joue avant l’incident, dans un document que trop de PME négligent encore : le plan de reprise d’activité informatique (PRA). Sans lui, une panne de quelques heures peut se transformer en fermeture définitive.
Ce qui distingue vraiment un PRA d’un PCA
Beaucoup d’entreprises confondent plan de reprise d’activité (PRA) et plan de continuité d’activité (PCA). La nuance est pourtant décisive. Le PRA se concentre uniquement sur le système informatique : il prévoit comment redémarrer les serveurs, restaurer les données et rétablir l’accès aux applications après une panne ou une attaque. Le PCA, lui, couvre un périmètre plus large : il maintient l’activité pendant le sinistre, y compris les aspects humains, logistiques ou les chaînes d’approvisionnement. En clair, le PCA empêche l’arrêt complet, le PRA organise le retour à la normale après l’incident.
Une entreprise qui n’a qu’un PCA sans PRA risque de garder ses équipes en activité… mais sans accès à leurs outils informatiques. L’inverse, un PRA sans PCA, permet de relancer les machines, mais sans avoir anticipé où travailler ou comment contacter les clients pendant la crise. Les deux sont complémentaires, mais le PRA est le premier maillon à verrouiller, car sans données ni serveurs, aucune reprise n’est possible.
Les trois menaces que tout PRA doit anticiper
Un plan de reprise d’activité informatique ne sert à rien s’il ne part pas d’une analyse concrète des risques. Les incidents qui paralysent un système d’information se classent en trois grandes catégories, qu’il faut aborder séparément.
La panne matérielle ou logicielle
Un disque dur qui lâche, un routeur qui grille, une surchauffe dans la salle serveur. Ces pannes sont souvent banales, mais elles deviennent critiques quand elles touchent le composant qui héberge les données essentielles. Sans PRA, le temps de diagnostic, de commande et de remplacement peut prendre plusieurs jours. Une panne logicielle, comme un bug après une mise à jour, peut aussi bloquer l’accès à une application métier sans qu’aucun matériel ne soit en cause.
La cyberattaque
Ransomware, phishing, malware : les méthodes des cybercriminels sont variées et visent aussi bien les grands groupes que les PME. L’attaque contre le Centre Hospitalier de Dax en 2021 a paralysé les opérations médicales et administratives pendant plusieurs jours. Celle contre Sopra Steria en 2020 a montré qu’aucune entreprise, même spécialiste de l’IT, n’est à l’abri. Un PRA bien conçu prévoit la bascule vers un système de secours avant que les données soient chiffrées.
L’erreur humaine
Un collaborateur qui supprime par mégarde un dossier partagé, un administrateur qui paramètre mal une règle de sauvegarde, un acte malveillant interne. Ces scénarios sont plus fréquents qu’on ne le croit. Le PRA doit inclure des procédures de restauration rapide, sans attendre une intervention extérieure.
Les deux indicateurs qui définissent un PRA efficace
Un plan de reprise d’activité informatique ne se juge pas à son épaisseur, mais à deux chiffres précis qui doivent être fixés avant toute mise en œuvre.
| Indicateur | Ce qu’il mesure | Exemple concret |
|---|---|---|
| RTO (Recovery Time Objective) | Durée maximale d’interruption admissible pour chaque service | La facturation doit être rétablie en moins de 4 heures |
| RPO (Recovery Point Objective) | Perte de données maximale acceptable | On accepte de perdre au maximum 1 heure de données |
Ces deux objectifs sont liés : plus le RTO et le RPO sont courts, plus la solution de secours est coûteuse (réplication en temps réel, serveurs redondants, cloud dédié). Pour une PME, un RTO de 24 heures et un RPO de 6 heures sont souvent un bon compromis entre sécurité et budget. L’essentiel est de les définir métier par métier : le service client n’a pas les mêmes exigences que la comptabilité.
Les étapes pour construire un PRA qui tient la route
Préparer un plan de reprise d’activité informatique ne se résume pas à acheter un disque externe. C’est un processus en plusieurs phases, qui demande de l’investissement mais évite des pertes bien plus lourdes.
- Inventorier les actifs critiques : listez les données, applications et serveurs sans lesquels l’entreprise ne peut pas fonctionner. Priorisez : la base clients, le logiciel de facturation, la messagerie.
- Analyser les risques : pour chaque actif, évaluez la probabilité d’un incident et son impact financier et opérationnel. Un serveur de sauvegarde non sécurisé est un risque élevé.
- Définir les objectifs RTO et RPO : fixez des seuils réalistes pour chaque service. Ne visez pas zéro perte si vous n’avez pas les moyens techniques ou financiers.
- Choisir la stratégie de secours : site secondaire, cloud, réplication en ligne, sauvegarde locale. Chaque solution a ses avantages et ses coûts. Une PME peut commencer par une sauvegarde externalisée avec restauration en 24 heures.
- Rédiger les procédures : chaque étape de la reprise doit être écrite, avec les rôles, les accès, les mots de passe et les numéros de contact. Ne comptez pas sur la mémoire des équipes en pleine crise.
- Tester régulièrement : un PRA non testé n’est qu’un vœu pieux. Simulez une panne réelle au moins une fois par an, et corrigez les failles découvertes.
Les erreurs fréquentes qui ruinent un PRA
Même les entreprises qui investissent dans un plan de reprise d’activité informatique commettent des erreurs classiques. Les voici, pour les éviter.
- Ne tester qu’une partie du plan : restaurer un seul fichier ne prouve pas que tout le système redémarre. Il faut simuler un sinistre complet, avec la bascule vers le site de secours.
- Oublier les mises à jour : un PRA rédigé il y a deux ans ne correspond plus à l’infrastructure actuelle. Nouveaux serveurs, nouvelles applications, nouveaux collaborateurs : le document doit être revu à chaque changement.
- Négliger les aspects humains : qui décide de déclencher le plan ? Qui a les accès administrateur ? Qui contacte les clients pendant la panne ? Sans rôles clairs, la reprise est chaotique.
- Se contenter d’une sauvegarde unique : un seul disque externe est vulnérable au même incendie ou à la même inondation que le serveur principal. La règle des 3-2-1 (trois copies, deux supports différents, une copie hors site) reste la référence.
Pourquoi le moment d’agir est maintenant, pas après la première alerte
Une statistique circule depuis des années : près de 60 % des PME qui subissent une perte majeure de données sans plan de reprise disparaissent dans les six mois. Même si ce chiffre est discuté, il reflète une réalité : le coût d’une interruption non anticipée dépasse largement l’investissement dans un PRA. Les exemples français d’attaques contre des hôpitaux ou des entreprises de services montrent que la menace est réelle et qu’elle touche aussi les structures de taille modeste.
Préparer un plan de reprise d’activité informatique, c’est accepter que l’incident arrivera un jour. C’est aussi se donner les moyens de ne pas tout perdre. La question n’est plus de savoir si vous devez le faire, mais combien de temps vous pouvez encore attendre sans mettre votre entreprise en danger. Si vous n’avez pas encore défini vos RTO et RPO, ni testé une restauration complète, prenez le problème à bras-le-corps dès cette semaine. Un PRA imparfait mais testé vaut toujours mieux qu’un plan parfait qui n’a jamais servi.
