Plan de reprise d'activité informatique
le guide pratique
Un PRA utile ne ressemble pas à un classeur oublié. Il relie les priorités métier aux moyens techniques : données à restaurer, applications à redémarrer, personnes à prévenir et tests à réaliser. L’objectif n’est pas de promettre le risque zéro ; c’est de reprendre la main méthodiquement lorsque l’imprévu survient.
PRA, PCA : quelle différence pour une PME ?
Le plan de continuité d’activité (PCA) organise le maintien des fonctions essentielles pendant une perturbation : par exemple prendre les commandes sur un poste de secours ou travailler temporairement avec une procédure papier. Le plan de reprise d’activité (PRA) prépare le retour des systèmes informatiques à un fonctionnement normal après un incident. Les deux démarches se complètent. Une entreprise de négoce peut continuer à noter les commandes pendant quelques heures grâce à son PCA, puis utiliser son PRA pour restaurer l’ERP, les fichiers partagés et les boîtes mail dans un ordre cohérent. Pour une petite structure, commencer par les processus les plus critiques est plus réaliste que vouloir documenter chaque détail dès le premier jour
Un PRA répond à des questions opérationnelles que la direction doit trancher : peut-on rester une journée sans logiciel de caisse ? Quelle perte de données est tolérable ? Qui autorise la remise en production ? Quels clients ou partenaires informer ? Ces choix déterminent ensuite la fréquence de sauvegarde, l’architecture technique et le budget. Ils ne peuvent pas être déduits d’un simple outil de sauvegarde
Construire son PRA informatique en 6 étapes
Dressez une liste courte des services indispensables : connexion Internet, pare-feu, téléphonie, messagerie, Microsoft 365 ou autre suite collaborative, postes, fichiers, ERP/CRM, logiciel métier, site e-commerce et sauvegardes. Pour chacun, notez le propriétaire métier, les dépendances, les accès administrateur et la conséquence d'un arrêt. Cette cartographie révèle souvent qu'un compte administrateur, une licence ou un équipement réseau est un point de fragilité oublié
Classez chaque service selon son impact sur le chiffre d'affaires, la conformité, la sécurité et la relation client. Définissez le RTO et le RPO par priorité. Une restauration ne doit pas suivre l'ordre technique le plus simple, elle doit suivre l'ordre qui remet l'activité en mouvement
Une sauvegarde réussie n'est pas nécessairement une restauration réussie. Vérifiez ce qui est réellement couvert : serveurs, postes clés, dossiers partagés, bases de données, messagerie et données cloud. Identifiez le lieu de stockage, le chiffrement, la rétention, les droits d'accès et l'existence d'une copie isolée. Les recommandations de l'ANSSI insistent sur la nécessité de sauvegardes intègres et déconnectées pour faire face à un rançongiciel
panne matérielle, erreur de manipulation, indisponibilité cloud, ransomware - documentez les premières actions : isoler ou non les équipements, préserver les preuves, joindre le prestataire, informer les équipes, réinitialiser les accès si besoin, restaurer dans l'ordre défini puis contrôler. Le guide Cybermalveillance recommande de ne pas remettre un système en service avant d'avoir identifié la source et l'étendue d'une attaque ; une reprise trop rapide peut relancer le problème
Prévoyez un responsable de crise, un relais, les contacts du prestataire, de l'assureur, des éditeurs et de la direction. Conservez hors du système principal une copie à jour des numéros d'urgence, contrats, procédures et accès de secours. Le plan doit rester accessible si la messagerie, le réseau ou le gestionnaire de mots de passe est indisponible, tout en protégeant ces informations sensibles.
Programmez au moins un exercice par an, complété par des tests plus fréquents sur les restaurations critiques. Commencez simplement : restaurer un fichier choisi au hasard, rejouer une boîte mail ou remettre en service une application sur un environnement séparé. Chronométrez, notez les écarts avec le RTO/RPO, puis attribuez une action et une échéance à chaque correction. Le test transforme un document théorique en capacité réelle de reprise.