Continuité d'activité et reprise après sinistre : BIA, RTO et RPO

Informatique de gestion · Bachelor 3

Analyse d'impact, objectifs de reprise, plans de continuité et stratégie de sauvegarde 3-2-1.

Introduction

Une panne de datacenter, un incendie, un rançongiciel ou la défaillance d'un fournisseur cloud peuvent arrêter les processus d'une entreprise. La continuité d'activité (BCM) vise à maintenir les activités critiques à un niveau acceptable pendant la crise ; la reprise après sinistre (DRP) se concentre sur la remise en état des systèmes d'information. La norme ISO 22301 décrit un système de management de la continuité d'activité.

Tout commence par l'analyse d'impact sur l'activité (BIA) : pour chaque processus, on évalue les conséquences d'une interruption dans le temps (pertes financières, obligations légales, image) et on en déduit les priorités. On fixe alors deux objectifs. Le RTO (Recovery Time Objective) est la durée maximale tolérable avant la reprise ; le RPO (Recovery Point Objective) est la perte de données maximale tolérable, exprimée en temps. Un RPO de quatre heures impose des sauvegardes ou des réplications au moins toutes les quatre heures.

Les solutions techniques se choisissent en fonction de ces objectifs et de leur coût : sauvegardes selon la règle 3-2-1 (trois copies, deux supports différents, une copie hors site, idéalement immuable ou hors ligne), réplication, site de secours à froid, tiède ou chaud, bascule dans le cloud. Un plan non testé n'est pas un plan : des tests de restauration réguliers sont indispensables.

Objectifs d'apprentissage

Définir BCP, DRP et BIA
Calculer et interpréter RTO et RPO
Choisir une stratégie de sauvegarde et de site de secours
Appliquer la règle 3-2-1
Planifier des tests de restauration

Concepts clés

BIA: Analyse qui mesure l'impact d'une interruption par processus et fixe les priorités de reprise.
RTO: Durée maximale d'interruption tolérée avant la reprise du service.
RPO: Quantité maximale de données pouvant être perdue, exprimée en temps entre deux sauvegardes.
Règle 3-2-1: Trois copies des données, sur deux supports distincts, dont une hors site.
Test de restauration: Exercice qui vérifie qu'une sauvegarde est exploitable et que le RTO est tenu.

Conclusion

La continuité d'activité s'appuie sur une logique simple : connaître les processus critiques (BIA), fixer des objectifs mesurables (RTO, RPO), choisir des solutions proportionnées au risque et les tester. Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une garantie.

Pour l'examen, retenez les définitions de BIA, RTO, RPO, la règle 3-2-1 et la distinction BCP/DRP.

Cartes

Quelle est la différence entre BCP et DRP ?: Le BCP maintient les activités critiques de l'entreprise ; le DRP remet en état les systèmes d'information.
Que mesure un BIA ?: L'impact d'une interruption de chaque processus dans le temps, pour fixer les priorités de reprise.
Que signifie RTO ?: Recovery Time Objective : durée maximale tolérée avant la reprise du service.
Que signifie RPO ?: Recovery Point Objective : perte de données maximale tolérée, exprimée en temps.
Quel RPO implique une sauvegarde quotidienne ?: Un RPO d'environ 24 heures : on peut perdre jusqu'à une journée de données.
En quoi consiste la règle 3-2-1 ?: Trois copies, deux supports différents, une copie hors site.
Pourquoi une copie immuable ou hors ligne est-elle utile ?: Elle ne peut pas être chiffrée ou effacée par un rançongiciel qui compromet le réseau.
Différence entre site de secours chaud et froid ?: Le site chaud est équipé et synchronisé pour une reprise rapide ; le site froid n'offre que l'espace et nécessite une installation.
Pourquoi tester la restauration ?: Une sauvegarde non testée peut être illisible, incomplète ou trop lente à restaurer par rapport au RTO.
Quel lien entre coût et objectifs de reprise ?: Plus le RTO et le RPO sont courts, plus la solution (réplication, site chaud) est coûteuse ; le BIA justifie le niveau.

Glossaire

BCM: Management de la continuité d'activité : ensemble des mesures pour maintenir les activités critiques.
DRP: Plan de reprise des systèmes d'information après sinistre.
Réplication: Copie continue ou périodique des données vers un second site.
Haute disponibilité: Architecture redondante limitant les interruptions.
Sauvegarde immuable: Sauvegarde qui ne peut être modifiée ou supprimée avant une date fixée.
Site de secours: Infrastructure de repli en cas de perte du site principal.