Un plan de reprise d'activité (PRA) est un ensemble de procédures (techniques, organisationnelles, sécurité) qui permettent à une entreprise de prévoir par anticipation, les mécanismes pour reconstruire et remettre en route un système d'information en cas de sinistre important ou d'incident critique.
En cas de sinistre, le PRA permet de reconstruire les serveurs en leur affectant les données répliquées et ainsi de redémarrer les applications sous quelques minutes ou quelques heures, suivant les solutions retenues. Il existe plusieurs niveaux de capacité de reprise, et le choix doit dépendre des besoins exprimés par l'entreprise.
Les entreprises actuelles dépendant de plus en plus de leur informatique, elles ne peuvent donc plus se permettre de ne pas avoir une solution face à un incident informatique, qui pourrait leur être fatal ou entraîner une paralysie de l’activité professionnelle. Le plan de reprise d’activité a alors un rôle majeur pour assurer le redémarrage structuré des systèmes d’information. Ce plan peut être détenu par l’entreprise ou confié à un prestataire.
Le PRA est comme une assurance, tant qu'il n'y a pas d’accident, on ne voit pas l’intérêt.
Aujourd’hui, la simple sauvegarde ne suffit plus.
Voici quelques chiffres clés pour comprendre la mise en place du plan : 76 % des entreprises déclarent la perte de données informatiques sur les deux dernières années. 82 % des PME non préparées à un sinistre ne survivent pas à un important crash informatique.
Le plan de reprise d’activité (PRA) est à distinguer du plan de continuité d'activité (PCA) : ce dernier a pour objectif de poursuivre l'activité sans interruption du service et d’assurer la disponibilité des informations quels que soient les problèmes rencontrés. Le PRA en est un sous-ensemble, qui décrit hiérarchiquement l’ensemble des mesures qui doivent être mises en place lors de la survenue d'un sinistre ou d’un incident majeur ayant entraîné une interruption de l'activité. Le PRA définit les architectures, les moyens et les procédures nécessaires à mettre en œuvre pour assurer la protection des applications qu’il couvre.
Objectifs et détermination des besoins Les entreprises ne peuvent pas toujours détourner les catastrophes, mais avec une prévision prudente, les effets d’un sinistre ou d’un désastre peuvent être atténués. L’objectif d’un PRA est de minimiser les temps morts et la perte de données. L’objectif premier est de protéger l’organisation dans l’éventualité qu’une partie ou la totalité de ses opérations et services informatiques soit inutilisables. Le PRA minimise la perturbation des opérations et assure un certain niveau de stabilité organisationnelle et le rétablissement de ces données sera prioritaire après le désastre.
Un système de reprise peut être extrêmement coûteux à mettre en place et à maintenir au sein de l’organisation. Il est donc essentiel de définir convenablement les attentes du système de reprise. Les besoins de l’organisation sont mesurés à l’aide de deux concepts : Durée maximale d'interruption admissible (Recovery Time Objective : RTO)C’est le délai de rétablissement d’un processus, à la suite d'un incident majeur, pour éviter des conséquences importantes associées à une rupture de la continuité d'activité. Il définit le temps alloué pour faire le basculement vers le nouveau système.Perte de données maximale admissible (Recovery Point Objective : RPO)Le RPO commence à s’exprimer à l'instant où l’incident majeur arrive et peut être exprimé en secondes, minutes, heures ou jours. Il s’agit donc de la quantité maximale acceptable de perte de données. C'est la durée des fichiers ou des données dans le stockage de secours exigé par l’organisation pour reprendre des opérations normales après l’incident. Ce critère définit l'état dans lequel doit se trouver le nouveau système après basculement.
Les États-Unis depuis plusieurs années ont déjà imposé des contraintes aux entreprises quant à leurs sauvegardes de données (HIPAA, pour les caisses d’assurances maladie et PCI-DSS pour le milieu bancaire)
La France y arrive peu à peu, en imposant de plus en plus le PCA, notamment grâce aux nouvelles législations qui imposent à certains types d’entreprise la maîtrise de leurs activités essentielles et des risques attachés. Le CRBF (Comité de la réglementation bancaire et financière) par exemple pour le secteur bancaire.
Les trois types de sinistres informatiques et leurs conséquences Il y a trois grandes catégories de sinistres pouvant causer la perte totale ou partielle de votre système d’information. Certains d’entre eux impliquent une perte de données ne pouvant être récupérées que par une sauvegarde externalisée.
Catastrophes naturelles Le terme « catastrophe naturelle » évoque un événement soudain qui expose les habitants d’une ville et leurs infrastructures à de lourds dégâts. Elles peuvent être de différentes formes : tempêtes, inondations, cyclones, tremblements de terre, sécheresses ou encore grandes chaleurs.
Les conséquences de ces sinistres peuvent être : Perte d’un immeuble ou d’un local : elle peut être causé par une coupure électrique, un feu, une tempête, un cyclone, un tsunami ou bien une inondation. Elle peut entraîner la perte d’un centre de données, qui est une conséquence dramatique pour l’entreprise. Désastre à grande échelle (ville, région, pays) : Ce sont des sinistres dont la très faible probabilité nécessite d’être évoquée compte-tenu de leurs conséquences. Les cyclones ou les tremblements de terre peuvent interrompre l’ensemble des activités informatiques d’une zone géographique. Par exemple : Les tremblements de terre au Japon ou le cyclone Katrina.
Sinistres sur les installations Ce sont des sinistres, d’origines variées qui peuvent affecter les installations. Ils peuvent être intentionnels (vol, attentat, sabotage) ou non intentionnel (incendie, dégâts des eaux).
Cybercriminalité et malveillance Selon une étude menée par Symantec, les cybers-criminels planifient avec rigueur leurs offensives. Les entreprises sont de plus en plus ciblées car les informations qu’elles détiennent sont d’une grande valeur. Le détournement de ces données est source d’enrichissement illicite. Les cyber-escrocs les mieux organisés ne se contentent plus de contaminer de front les réseaux, ils préfèrent s’introduire dans les systèmes par le biais de partenaires commerciaux. En 2014, le pourcentage d’incidents attribués aux fournisseurs de services, consultants ou sous-traitants a progressé respectivement de 18 % et 15 %.
Les attaques sont variées : virus, cyberattaque, piratage informatique, logiciels malveillants. Le sabotage d’installations industrielles est une autre alternative. Dans certains cas, ces attaques peuvent paralyser l'activité professionnelle, ou encore entraîner une perte de données conséquente
Les conséquences de ces incidents peuvent être diverses, notamment entraîner une coupure des communications, ainsi les systèmes reliés ne peuvent plus échanger de données et on assiste alors à une perte d’informations, une saturation, une panique système ou un arrêt des activités. Une entreprise peut aussi subir la perte des applications installées.
Autres causes Les autres causes de pertes de services ou de données sont dues à des facteurs internes aux organisations ou à leurs partenaires proches : pertes de services essentiels (électricité, communications), erreurs de manipulation (saisies, erreurs de programmation, de configuration de l'infrastructure), vols de matériel, pannes matérielles.
Ces causes de panne sont souvent négligées car sous estimées : on fait confiance aux fournisseurs de téléphonie, aux employés, à la qualité du matériel utilisé.
En France, nombreuses sont les entreprises qui négligent ces aspects
Types de mesures Le Plan de Reprise d’Activité idéal n’existe pas. Il faut qu’il soit adapté à chaque organisation. Néanmoins, il y a trois stratégies de base qui figurent dans tous les plans de reprise :
Mesures préventives Les mesures préventives vont tenter de prévoir l’occurrence d’incidents. Ces mesures cherchent à identifier et réduire les risques. Elles sont créées pour atténuer ou prévenir la fréquence des sinistres ou des désastres.
Les mesures préventives peuvent inclure : des sauvegardes de données très régulières, de prévoir un plan de reprise d'activité précis et testé régulièrement. d’installer des générateurs et de conduire des inspections du quotidien.
Mesures détectives Les mesures détectives sont prises pour détecter la présence d’éléments indésirables dans le système d’information de l’organisation. Leur but est de découvrir de nouvelles menaces potentielles. Elles peuvent mettre en avant des événements non-désirés. Ainsi, l’organisation doit mettre en œuvre différentes mesures : Installer des logiciels anti-virus à jour et les renouveler, Mettre en place des sessions de formation des salariés pour diminuer le phénomène de shadow IT, Installer des logiciels de contrôle/surveillance des serveurs et des réseaux,
Mesures correctives Les mesures correctives visent à restaurer un système après un événement indésirable (sinistre, désastre). Ces mesures portent sur la fixation ou la restauration des systèmes d’information après l’incident.
Elles peuvent inclure la tenue de documents critiques dans le plan de reprise d’activité ou la souscription à des polices d'assurance adaptées à l’organisation. Dans toutes les organisations, un Plan de Reprise d’Activité doit permettre de répondre aux interrogations suivantes : Quel est son objectif et son but ? Quelles sont les personnes ou équipes responsables si des perturbations surviennent ? Que feront ces personnes quand l’incident surviendra ?
Exemple Exemple de mesure : Mehari (Méthode Harmonisée d'Analyse de Risques) qui est une méthode complète d’évaluation et de management des risques liés à l'information, ses traitements et les ressources mises en œuvre.
Méthodologie Selon Geoffrey H. Wold (Disaster Recovery Journal), tel que cité dans un rapport du Sans, le processus entier de développement d'un Plan de reprise d’activité se déroule en 9 étapes :
Étape 1 : Obtenir l'engagement de la haute direction Pour qu’un plan de reprise d’activité soit réussi, la responsabilité centrale du plan doit dépendre de la direction. Celle-ci est responsable de coordonner le plan de reprise d’activité et d’assurer son efficacité dans l'organisation. Elle est aussi chargée de répartir le temps et les ressources nécessaires, à la fois financières et relatives à l'effort que tout le personnel concerné doit fournir.
Étape 2 : L'établissement d'un comité de planification La direction générale de l’entreprise nomme un comité de planification pour surveiller le développement et la mise en œuvre du plan. Il inclut des représentants de tous les services fonctionnels de l'organisation et il compte aussi habituellement le directeur du service informatique. Le comité définit aussi la portée du plan.
Étape 3 : Procéder à une évaluation des risques Le comité de planification prépare une analyse de risque et une analyse d'impact sur l’activité qui inclut une gamme d’incidents possibles, y compris des menaces naturelles, technologiques et humaines. Chaque service de l'organisation est analysé pour déterminer la conséquence potentielle et l'impact associé à plusieurs scénarios de désastre. Le processus d'évaluation des risques évalue aussi la sécurité des documents importants. Traditionnellement, le feu a constitué la menace la plus importante pour une organisation. Cependant on devrait aussi considérer la destruction humaine intentionnelle. L’entreprise doit prévoir un plan minutieux présentant comme situation « le pire cas », c’est-à-dire la destruction du bâtiment principal. Il est important d'évaluer les impacts et les conséquences résultant de la perte d'informations et des services.
Étape 4 : Établir des priorités pour traiter l’incident