PCA et PRA (continuité et reprise d'activité)

La CNIL résume la distinction ainsi : assurer la continuité d'activité consiste à prévoir des moyens de continuer à fonctionner, en général de manière dégradée, malgré des dysfonctionnements. La reprise d'activité englobe toutes les actions nécessaires pour relancer un système arrêté. Le plan de continuité (PCA) répond donc à la question « comment travailler pendant la panne ? », et le plan de reprise (PRA) à la question « comment tout remettre en marche, et dans quel ordre ? ». Pour une TPE ou une PME, ces plans n'ont pas besoin d'être des documents de cent pages. La CNIL recommande d'en rédiger un, même sommaire, avec la liste des intervenants. Un plan utile tient souvent en quelques pages : les activités vitales (prendre une commande, facturer, joindre un client), les systèmes qui les portent (messagerie, site, logiciel de gestion, hébergement), l'ordre de redémarrage, les contacts des personnes et des prestataires à alerter, l'emplacement des sauvegardes et la manière de les restaurer, ainsi que les solutions de repli (téléphone, outil de secours, copie papier d'informations essentielles). Il faut aussi définir deux objectifs de façon réaliste avec la direction : combien de temps l'entreprise peut rester arrêtée, et quelle ancienneté de données elle peut perdre. Ces deux réponses déterminent le rythme des sauvegardes et les moyens à prévoir. Le plan doit conserver le niveau de protection des données, même en mode dégradé : un contournement provisoire ne doit pas ouvrir une faille. Surtout, un plan jamais testé n'est qu'une intention. La CNIL insiste sur le test régulier de la restauration des sauvegardes et de l'application du plan, ainsi que sur un retour à la normale prévu à l'avance. Ces plans sont la réponse de fond à un rançongiciel, à une panne d'hébergeur, à un incendie ou à une erreur de manipulation. Ils s'appuient sur la sauvegarde 3-2-1 et complètent la sécurité préventive. Pour démarrer, choisissez les trois ou quatre activités dont l'arrêt coûterait le plus, rédigez pour chacune la marche à suivre en cas de panne, puis testez-la une première fois avec les personnes concernées. Le plan s'améliore ensuite à chaque exercice, à chaque changement d'outil et après chaque incident réel.