Quand une entreprise s’arrête, ce n’est pas seulement l’informatique qui se fige : les commandes stagnent, la trésorerie se tend, les clients s’inquiètent. Qu’il s’agisse d’un rançongiciel, d’une panne matérielle, d’un dégât des eaux ou d’une erreur humaine, l’enjeu n’est pas de savoir si un incident arrivera un jour, mais combien de temps vos équipes mettront à redémarrer. Le Plan de Reprise d’Activité après Incident (PRA) apporte une réponse simple à une question vitale : comment revenir à un fonctionnement opérationnel dans un délai et avec une perte de données acceptables ?
Chez Guarde, à Bayeux, nous accompagnons des TPE et PME qui disposent souvent de sauvegardes, mais rarement d’un plan clair pour les restaurer vite et bien. Ce guide propose une méthode pragmatique, pensée pour les organisations locales du Calvados et de Normandie, qui doivent concilier contraintes budgétaires, ressources limitées et exigences clients.
Mettre des objectifs sur le temps et les données
Un bon PRA commence par deux jalons : le RTO (Recovery Time Objective), c’est-à-dire le temps maximal d’arrêt que vous pouvez supporter, et le RPO (Recovery Point Objective), autrement dit l’ancienneté maximale des données restaurées. Il est illusoire de fixer un objectif unique pour toute l’entreprise : la comptabilité, l’ERP, le SAV ou la messagerie n’ont pas la même criticité. En pratique, on attribue un RTO/RPO par processus. Cette granularité permet d’investir là où cela compte vraiment et d’éviter des architectures surdimensionnées.
Savoir ce qui compte vraiment… et le reste
Avant de parler technologie, il faut comprendre l’activité. Quels sont les processus qui, s’ils s’arrêtent, créent immédiatement un préjudice financier ou réglementaire ? Quelles applications les soutiennent ? Où résident les données ? Qui sont les fournisseurs et prestataires clés ? Une cartographie légère mais à jour suffit, tant qu’elle expose clairement les dépendances (par exemple un ERP local, un NAS pour les fichiers partagés, la messagerie Microsoft 365, un éditeur SaaS pour la paie). Cette vision est le fil d’Ariane de votre reprise.
Anticiper les scénarios sans dramatiser
Inutile de lister toutes les catastrophes possibles : concentrez-vous sur les scénarios probables pour une TPE/PME. Le chiffrement des serveurs par rançongiciel, la corruption d’une base de données, la perte d’un poste critique, la panne d’un NAS ou un sinistre local sont des cas suffisamment représentatifs pour dimensionner votre réponse. Chaque scénario doit mener à une procédure claire de bascule et de restauration.
Les sauvegardes qui se restaurent pour de vrai
La fameuse règle 3-2-1 reste une boussole utile : trois copies des données, sur deux types de supports, dont une hors site. À cela, les menaces actuelles ajoutent une exigence : l’isolation. Une sauvegarde connectée au même domaine qu’un serveur chiffré partira avec lui. Préférez des coffres immuables (WORM), des comptes de sauvegarde hors domaine et des accès limités. Et surtout, remplacez les rapports de « sauvegarde réussie » par des tests de restauration réguliers, chronométrés, documentés. Une restauration complète trimestrielle d’un service critique vaut mille tableaux de bord.
Reprendre où, et comment ?
Le « site de repli » ne signifie pas forcément un deuxième local technique. Pour la plupart des TPE, un repli logique dans le cloud – une machine virtuelle préconfigurée qui reste éteinte et ne coûte presque rien tant qu’elle n’est pas utilisée – offre un bon compromis. Le jour J, on restaure l’ERP et les fichiers dessus, on ouvre l’accès VPN, on bascule le DNS, puis on vérifie des dossiers clients au hasard pour valider l’intégrité. L’essentiel est de documenter qui fait quoi, dans quel ordre, et d’avoir sous la main les accès d’urgence (dans un coffre-fort, y compris une copie hors ligne).
Organiser l’humain et la communication
Un PRA n’est pas qu’une affaire de technologie. Le jour d’un incident, on gagne du temps en sachant qui décide, qui exécute, qui informe. Une petite équipe de crise suffit : dirigeant, référent IT ou prestataire (Guarde), finance/RH et communication. Préparez des messages simples pour les collaborateurs, les clients et les fournisseurs ; et, en cas d’atteinte à des données personnelles, une trame d’analyse RGPD pour décider rapidement si une notification s’impose. Ce cadre apaise les échanges et évite l’improvisation sous stress.
La méthode Guarde, pas à pas
Notre accompagnement commence par un diagnostic express : quelques ateliers pour cartographier l’existant, identifier les risques prioritaires et proposer des RTO/RPO réalistes. Nous concevons ensuite une architecture de reprise adaptée : sauvegardes immuables, comptes isolés, stockage hors site, VM de repli « à froid ». Viennent enfin des procédures pas-à-pas : runbooks techniques (restaurer l’ERP, la messagerie, le VPN), fiches réflexes pour la communication et la conformité, et un calendrier d’exercices combinant table-top (jeu de rôle) et test technique. À chaque itération, on mesure, on compare aux objectifs, on ajuste.
Un exemple local : une TPE de 25 personnes à Bayeux
Imaginez une entreprise avec un ERP sur serveur local, des fichiers sur NAS, la messagerie dans Microsoft 365 et une paie externalisée. Les objectifs fixés sont simples : repartir l’ERP en moins de huit heures avec au plus quatre heures de données perdues ; les fichiers, eux, peuvent attendre vingt-quatre heures avec un RPO de douze heures. La solution consiste à envoyer chaque jour une sauvegarde immuable de l’ERP vers un coffre cloud, à répliquer les fichiers du NAS de manière incrémentale vers un stockage objet, et à maintenir une VM de repli prête à accueillir l’ERP. Le test trimestriel est concret : on restaure l’ERP sur la VM, on bascule le DNS, puis on contrôle cinq dossiers clients au hasard. Le vendredi à 18 h, en cas de chiffrement, l’entreprise peut reprendre le samedi matin, en ayant perdu au maximum quatre heures d’écritures.
Les pièges que nous voyons le plus souvent
Beaucoup d’entreprises découvrent trop tard que leurs sauvegardes ont été chiffrées en même temps que les serveurs, faute d’isolation. D’autres ne retrouvent pas les mots de passe d’urgence ou s’appuient sur une documentation périmée. Le test annuel se limite parfois à vérifier l’ouverture d’un fichier, alors qu’il faudrait remonter tout un service. Enfin, les dépendances aux outils SaaS sont souvent sous-estimées : même dans le cloud, vos données restent votre responsabilité ; il est prudent de connaître les politiques de rétention et de prévoir vos propres exports.
Conformité, preuves et assurances
La dimension RGPD fait partie intégrante d’un PRA. Lorsqu’un incident touche des données personnelles, il faut évaluer rapidement les risques pour les personnes, consigner l’analyse et, si nécessaire, notifier l’autorité compétente et les personnes concernées dans les délais légaux. Les assureurs cyber, de leur côté, attendent de plus en plus des sauvegardes immuables, du MFA, un EDR, une segmentation réseau et de la journalisation. Un PRA vivant, testé, avec des preuves (rapports de restauration, journaux, captures d’écran datées) devient un véritable atout lors de la souscription ou du renouvellement.
À quoi ressemble une « checklist » le jour J ?
Sans dérouler une liste interminable, l’enchaînement type est toujours le même : on détecte et on alerte, on réunit l’équipe de crise, on qualifie l’incident et on décide si l’on déclenche la bascule. On sélectionne la sauvegarde source (en vérifiant son intégrité), on restaure les briques dans le bon ordre (réseau, identités, bases, applications), on contrôle l’accès et un échantillon de données métier, puis on communique en interne et vers l’extérieur. La dernière étape, trop souvent oubliée, est le retour d’expérience : on mesure les temps réels, on note les écarts au RTO/RPO, et on met à jour la documentation.
Et la question du budget ?
Un PRA proportionné coûte nettement moins cher que quelques jours d’arrêt de production. Pour une TPE/PME, il se compose généralement d’un chantier initial (quelques jours d’audit, d’architecture et de documentation), d’abonnements modestes (stockage de sauvegarde immuable, VM de repli éteinte, supervision) et d’exercices réguliers (une demi-journée à une journée par trimestre pour les services critiques). La clé du ROI consiste à traiter d’abord les processus vitaux, puis à élargir le périmètre.
Questions que l’on nous pose souvent
« Les sauvegardes ne suffisent-elles pas ? »
Elles sont indispensables, mais elles ne disent rien sur la reprise opérationnelle. Le PRA organise le « comment » et le « qui », avec des temps mesurés.
« Faut-il tout mettre dans le cloud ? »
Pas forcément. Les architectures hybrides fonctionnent très bien : des sauvegardes immuables dans le cloud et des restaurations rapides sur une VM de repli. Le choix dépend de vos RTO/RPO et de votre connectivité.
« À quelle fréquence tester ? »
Un table-top annuel est un minimum ; pour un service critique, un test de restauration trimestriel apporte une vraie sérénité.
« Nous ne sommes que huit, est-ce réaliste ? »
Oui. Commencez par l’essentiel : sauvegardes 3-2-1 immuables, runbook de restauration de la messagerie et d’un poste clé, liste de contacts à jour ; puis montez en puissance.
Comment Guarde peut vous aider (Bayeux en Normandie)
Nous proposons un audit PRA express pour cadrer vos RTO/RPO et prioriser les actions, la mise en œuvre de sauvegardes immuables et d’un repli cloud prêt à servir, la rédaction de runbooks adaptés à votre contexte, et des exercices de reprise réguliers. Nous pouvons aussi vous accompagner sur la dimension RGPD et la relation avec votre assureur.
Si vous souhaitez passer de « on verra » à « on est prêts », parlons-en. Nous sommes à Bayeux, proches de vos équipes, et nous savons travailler avec des contraintes de TPE/PME.
