Construire un PRA réaliste pour une PME
Un plan de reprise d'activité ne vaut que s'il fonctionne le jour où tout s'arrête. Voici comment en bâtir un qui tienne compte de vos moyens réels — et qui survive au premier test.
01PRA, PCA : de quoi parle-t-on ?
Le plan de reprise d'activité (PRA) décrit comment remettre votre système d'information en route après un sinistre majeur : cyberattaque, panne, incendie, erreur humaine. Le plan de continuité d'activité (PCA), plus large, organise le maintien des opérations pendant la crise. Pour une PME, le PRA est le socle : c'est lui qui détermine si l'arrêt dure quelques heures ou plusieurs semaines.
L'erreur la plus répandue consiste à le penser comme un document technique. Un bon PRA est d'abord un exercice de direction : il traduit des choix métier en priorités de redémarrage.
02Partir des processus métier, pas des serveurs
Deux indicateurs structurent tout le plan, et ils se définissent processus par processus :
- RTO (Recovery Time Objective) : combien de temps ce processus peut-il rester à l'arrêt ? Quatre heures pour la prise de commandes, peut-être trois jours pour la paie.
- RPO (Recovery Point Objective) : quelle quantité de données récentes peut-on accepter de perdre ? Une heure de saisie ? Une journée ?
Ces réponses n'appartiennent pas à l'informatique : elles appartiennent aux métiers. C'est seulement une fois ces objectifs posés que l'on dimensionne la technique — fréquence des sauvegardes, infrastructure de secours, ordre de redémarrage.
03Arbitrer : tout n'est pas critique
Un PRA où tout est prioritaire est un PRA qui échoue. Le réalisme consiste à classer vos applications en deux ou trois niveaux : ce qui doit revenir en quelques heures, ce qui peut attendre quelques jours, ce qui attendra la fin de crise. Ce classement réduit les coûts — la haute disponibilité se réserve au premier niveau — et clarifie l'action le jour J.
Posez-vous la question avec votre prestataire : « Si tout le SI est chiffré un vendredi à 18 h, que se passe-t-il, heure par heure, jusqu'au lundi matin ? » Si la réponse est vague, le plan n'existe pas encore.
04Documenter simplement : qui fait quoi, dans quel ordre
Le document utile tient en quelques pages : contacts d'urgence (internes, prestataires, assureur), ordre de restauration des systèmes, procédures d'accès aux sauvegardes, et moyens de communication de secours si la messagerie est hors service. Il doit être accessible hors du SI — une copie imprimée et une copie chez le prestataire — car un plan stocké sur un serveur chiffré ne sert à rien.
05Tester, mesurer, corriger
Un PRA non testé est une déclaration d'intention. Deux exercices par an suffisent : une restauration technique chronométrée, et un exercice sur table où direction et équipes déroulent le scénario de crise. Chaque test révèle des écarts — un contact obsolète, une dépendance oubliée, un délai sous-estimé. C'est exactement leur rôle : on corrige le plan à froid plutôt que de le découvrir à chaud.
Enfin, le PRA vit avec l'entreprise : nouvelle application, nouveau site, nouveau prestataire — chaque changement significatif du SI doit déclencher sa mise à jour.
Combien de temps tiendriez-vous à l'arrêt ?
L'audit gratuit Cyyber évalue votre capacité de reprise réelle et pose les bases d'un PRA adapté à vos moyens, avec une roadmap 90 jours.