Récupération de données : PCA/PRA

PCA et PRA sont les extensions logiques d’une bonne politique d’anticipation et de gestion des risques. Ils impliquent largement les Systèmes d’Information, les entreprises étant de plus en plus dépendantes de l’outil informatique.

Mise en œuvre d’un PCA/PRA

Il n’existe pas de PCA ni de PRA génériques. Plan de Continuité d’Activité et Plan de Reprise d’Activité vont dépendre du profil de chaque entreprise : secteur d’activité, taille, infrastructures… Un PCA/PRA peut même inclure un PCI (Plan de Continuité Informatique) et un PRI (Plan de Reprise Informatiques) dédiés si les processus SI sont des auxiliaires distincts des processus métiers.

L’élaboration d’un PCA/PRA repose sur l’analyse et l’anticipation :

• Analyse des risques: identifier les risques, menaces et sinistres qui peuvent toucher l’activité de l’entreprise, en allant jusqu’à considérer les scénarios extrêmes voire improbables.
• BIA (Bilan de l’Impact sur l’Activité): évaluer leur impact sur les processus de l’entreprise, identifier les activités et ressources critiques et déterminer le temps maximal d’indisponibilité tolérable.

La définition des risques et de leur impact permet de définir les stratégies de prévention et de continuité adaptées à l’entreprise :

• Les mesures préventives ont pour finalité de réduire les risques de discontinuité et d’anticiper les besoins du PCA/PRA :
  • détection: sécurité informatique, logiciels de contrôle, anti-virus…
  • atténuation des risques: systèmes de secours, redondance des infrastructures…
  • sauvegarde des données: fréquence et nature des sauvegardes (mirroring, réplication…)
• Les mesures curatives regroupent l’ensemble des solutions et procédures opérationnelles qui seront exécutées dans le cadre du PCA/PRA :
  • Mise en œuvre des processus métiers et/ou informatiques en mode dégradé (PCA).
  • Recours à un site de secours in situ ou déporté, immédiatement opérationnel (site chaud) ou nécessitant un délai de mise en service (site froid).
  • Reprise planifiée de l’activité normale, ou service opérationnel (PRA).

Intégrer la récupération de données au PCA/PRA

Un PCA/PRA doit remplir les exigences définies lors de son élaboration :

• La DMIA (Durée Maximale d’Interruption Admissible) qui fixe le RTO (Recovery Time Objective), à savoir le délai au terme duquel l’activité de l’entreprise devra avoir repris.
• La PDMA (Perte de Données Maximale Admissible) ou RPO (Recovery Point Objective), conditionnée par la fraîcheur des données (date de dernière sauvegarde) restaurées.

DMIA et PDRA sont des notions de durée dont les valeurs distinguent le PRA du PCA. Il n’y aura ainsi pas de PRA si l’entreprise garantit un service ininterrompu non dégradé et sans perte de données (DMIA et PDRA ayant pour valeur zéro). Or, cette performance implique des solutions et des infrastructures très coûteuses (site chaud déporté, mirroring en temps réel des données vers un datacenter…). Toute entreprise doit donc accepter l’idée que réduire à zéro les DMIA et PDRA, à défaut d’être économiquement viable, n’est pas nécessairement pertinent.

La récupération de données sera donc une alternative raisonnable dans la majorité des scénarios. Elle peut compenser une PDMA de valeur non nulle impliquant une sauvegarde antérieure à l’incident. Plus récentes, des données récupérées avec succès depuis des supports de stockage sinistrés permettent une meilleure restauration.

La récupération de données doit être envisagée comme une mesure curative dès l’élaboration d’un PCA/PRA. Sa planification permet d’espérer une PDMA proche de zéro et de mieux évaluer la DMIA.

 

 

18 juin 2018