Plan de reprise après sinistre : RTO et RPO en langage clair
Combien de temps pouvez-vous être arrêté, et combien de données pouvez-vous perdre? RTO, RPO et plan de reprise expliqués aux dirigeants de PME.
Un serveur qui rend l’âme, un rançongiciel, un dégât d’eau dans la salle technique. Le jour où ça arrive, deux questions comptent plus que toutes les autres :
- Combien de temps allons-nous être arrêtés?
- Combien de travail allons-nous perdre?
Le plan de reprise après sinistre (PRS) sert à répondre à ces deux questions avant l’incident. Et deux sigles résument tout : le RTO et le RPO.
Le RTO : combien de temps vous pouvez être arrêté
Le RTO (Recovery Time Objective) est le délai maximal acceptable pour remettre un système en marche.
C’est une décision d’affaires, pas une décision technique. Posez-vous la question pour chaque système :
- Si le logiciel de rendez-vous de la clinique tombe, combien d’heures avant que ça devienne grave?
- Si le serveur de fichiers est inaccessible, peut-on travailler une journée? Une semaine?
Le RPO : combien de données vous pouvez perdre
Le RPO (Recovery Point Objective) est la quantité de données, exprimée en temps, que vous acceptez de perdre.
- Un RPO de 24 heures : une sauvegarde chaque nuit suffit. En cas de sinistre à 16 h, on perd la journée.
- Un RPO de 15 minutes : il faut une réplication ou des sauvegardes très fréquentes.
Encore une fois, c’est une décision d’affaires : refaire une journée de saisie comptable, c’est désagréable. Perdre une journée de dossiers patients ou de commandes clients, c’est autre chose.
Plus c’est court, plus c’est cher
Un RTO de quelques minutes et un RPO quasi nul sont possibles, mais coûteux. L’objectif n’est pas la perfection, c’est un équilibre conscient entre le coût de la protection et le coût d’un arrêt.
| Système (exemple) | Impact d’un arrêt | RTO visé | RPO visé |
|---|---|---|---|
| Courriels et Microsoft 365 | Élevé | Quelques heures | Quelques heures |
| Logiciel métier (dossiers, facturation) | Critique | Moins d’une journée | 1 heure à 24 heures |
| Serveur de fichiers | Moyen | 1 à 2 jours | 24 heures |
| Archives | Faible | 1 semaine | 1 semaine |
Ces valeurs sont des exemples. Les vôtres dépendent de votre réalité.
Ce que contient un plan de reprise utile
Un PRS de PME n’a pas besoin de faire 80 pages. Il doit surtout être trouvable et utilisable un jour de crise :
- La liste des systèmes par ordre de priorité, avec leur RTO et leur RPO.
- Les rôles : qui décide, qui appelle le fournisseur TI, qui communique avec les employés et les clients.
- Les coordonnées des fournisseurs (TI, Internet, logiciel métier, assureur), accessibles même si le réseau est en panne.
- L’emplacement des sauvegardes et la procédure pour les restaurer.
- Les accès d’urgence : comptes administrateurs et mots de passe dans un coffre sécurisé, accessible hors du réseau de l’entreprise.
- Un plan B pour travailler pendant la reprise : travail à distance, formulaires papier, poste de remplacement.
Gardez une copie hors du réseau : sur papier ou dans un espace infonuagique séparé. Un plan stocké uniquement sur le serveur en panne ne sert à rien.
Le cas du rançongiciel
Un rançongiciel n’est pas une panne comme les autres. Avant de restaurer, il faut :
- isoler les systèmes touchés pour arrêter la propagation;
- comprendre comment l’attaquant est entré, sinon il reviendra;
- restaurer à partir d’une sauvegarde saine, idéalement immuable;
- déclarer l’incident à votre assureur et, si des renseignements personnels sont touchés au Québec, évaluer vos obligations envers la Commission d’accès à l’information.
Prévoyez ces étapes dans le plan, avec les coordonnées de votre assureur cyber si vous en avez un.
Testez au moins une fois par année
Un plan jamais testé contient toujours des surprises : un mot de passe expiré, une sauvegarde incomplète, une étape oubliée. Un exercice simple :
- Choisissez un scénario : « le serveur principal est détruit ».
- Réunissez les personnes concernées une heure, et déroulez le plan sur papier.
- Restaurez réellement un système critique dans un environnement de test et chronométrez.
- Comparez le temps obtenu à votre RTO et corrigez le plan.
En résumé
- RTO : combien de temps vous pouvez être arrêté.
- RPO : combien de données vous pouvez perdre.
- Ce sont des décisions d’affaires, à prendre système par système.
- Un plan court, à jour, accessible hors réseau et testé vaut mieux qu’un long document oublié.
Le plan de reprise repose sur de bonnes sauvegardes. Lisez aussi la règle 3-2-1 expliquée aux dirigeants.
Vous voulez savoir si votre entreprise pourrait repartir rapidement après un sinistre? Écrivez-moi.
Questions fréquentes
Que veut dire RTO?
Recovery Time Objective, ou délai maximal de reprise : le temps maximal pendant lequel un système peut être arrêté avant que l'impact devienne inacceptable pour l'entreprise.
Que veut dire RPO?
Recovery Point Objective, ou perte de données maximale admissible : la quantité de travail, exprimée en temps, que vous acceptez de perdre. Un RPO de 24 heures veut dire qu'une sauvegarde par jour suffit.
Une PME a-t-elle vraiment besoin d'un plan de reprise après sinistre?
Oui, mais il peut tenir en quelques pages. L'essentiel est de savoir quoi remettre en marche en premier, qui fait quoi, où sont les sauvegardes et les accès, et d'avoir testé le scénario au moins une fois.