PRA, PCA : deux plans, une même question
Le plan de reprise d’activité (PRA) décrit comment remettre en service le système d’information après un sinistre : attaque, incendie, panne électrique, erreur humaine. Le plan de continuité d’activité (PCA) est plus large : il décrit comment l’organisation continue d’assurer ses missions pendant que le système est indisponible, y compris sans informatique.
Les deux répondent à une question de direction générale, non de technicien : qu’acceptons-nous de perdre, et pendant combien de temps ?
Première étape : l’analyse d’impact
L’analyse d’impact sur l’activité se conduit avec les directions métiers. Pour chaque processus, elle fixe deux valeurs :
- la durée maximale d’interruption admissible : au bout de combien de temps l’arrêt devient-il insupportable ?
- la perte de données maximale admissible : combien d’heures ou de jours de saisie peut-on accepter de refaire ?
Les réponses surprennent souvent. La paie tolère plusieurs jours d’arrêt en début de mois et aucun la semaine du virement. L’état civil supporte mal une journée. Un service d’urgences ne supporte pas une heure. Ces écarts justifient des niveaux de protection différents, donc des dépenses différentes : c’est tout l’intérêt de l’exercice.
Deuxième étape : relier les processus à ce qui les fait tourner
Une durée d’interruption ne vaut que si l’on sait quelles applications, quelles données, quels serveurs et quels prestataires sont nécessaires au processus. C’est ici que la cartographie devient indispensable : elle révèle que l’application « secondaire » dont dépend la paie n’est sauvegardée qu’une fois par semaine, ou que deux services vitaux partagent le même serveur sans secours.
Troisième étape : choisir une stratégie de reprise
| Exigence | Solution type | Ordre de coût |
|---|---|---|
| Reprise en quelques minutes | Site de secours actif, réplication continue | Élevé |
| Reprise en quelques heures | Infrastructure de secours prête, restauration automatisée | Moyen |
| Reprise en quelques jours | Sauvegardes externalisées, réinstallation | Modéré |
| Fonctionnement sans informatique | Procédures dégradées, formulaires papier, astreintes | Faible, mais à entretenir |
La dernière ligne n’est pas une option de repli honteuse. Dans un hôpital comme dans une mairie, la procédure dégradée est ce qui tient les premières heures. Elle doit exister par écrit, être accessible hors du système d’information et connue des agents.
Les sauvegardes, point de vérité
Face aux rançongiciels, une sauvegarde connectée au réseau est chiffrée avec le reste. Trois vérifications valent plus qu’un long plan : existe-t-il une copie hors ligne ou immuable, couvre-t-elle bien les applications vitales, et de quand date le dernier test de restauration complet ?
Tester, sinon le plan n’existe pas
Un plan jamais testé est une hypothèse. Les exercices vont du plus simple au plus exigeant : relecture du plan en salle, restauration d’une application, bascule réelle sur le secours, exercice de crise avec la direction générale. Chaque test produit un compte rendu et une liste d’écarts à corriger.
Faire vivre le plan
Le plan se périme à chaque changement : nouvelle application, nouveau prestataire, déménagement, réorganisation. Sa mise à jour est rattachée aux mêmes événements que celle de la cartographie. Une revue annuelle avec la direction générale valide les durées d’interruption et le budget qui en découle.
Un PRA n’est pas un document technique. C’est un engagement de la direction sur des délais de redémarrage, adossé à des moyens et prouvé par des tests. La page gestion de crise cyber traite de ce qui se passe pendant l’événement.
Dans la méthode DYNAMAP SI
Le plan de reprise s’appuie sur l’inventaire et les cartographies, puis vit au rythme des révisions.
- 1Phase 1 · Analyse de l’existant : inventorier les actifs, les processus et les risques tels qu’ils sont réellement.
- 3Phase 3 · Cartographies et points de vue : relier processus, données, logiciels et infrastructures dans des vues lisibles par chaque public.
- 5Phase 5 · Adaptation et révisions continues : réviser régulièrement la trajectoire selon les résultats et le contexte.
La méthode appliquée au secteur public · Le framework complet sur dynamap.fr
Pour approfondir : les livres de la collection
Mettre en place un Plan de Reprise d’Activité (PRA)
Construire un plan de reprise d’activité : périmètre et analyse de risques, stratégie de reprise, mise en place opérationnelle, tests et exercices, maintien dans la durée. Avec le passage du PRA informatique à la continuité d’activité.
Gestion des incidents et des crises du Système d’Information
Préparer, conduire et clore une crise : cadre et responsabilités, préparation, gestion en temps réel, crise majeure et continuité, retour d’expérience sans blâme. Avec un modèle d’analyse d’impact sur l’activité.
Toute la collection est présentée sur la page livres sur le système d’information.
Sources et références
Yann-Eric Devars
Architecte d’entreprise · créateur du framework DYNAMAP SI
Fondateur de Solve DSI, il accompagne depuis près de dix ans des organisations dans la cartographie et la gouvernance de leur système d’information. Il publie sur LinkedIn ses analyses sur les systèmes d’information publics ; les échanges entre pairs y sont ouverts.