MtoM Mag - Le journal de l'MtoM.

KDDI aide les entreprises à sécuriser leurs infrastructures et à se préparer efficacement aux incidents critiques. Dans un contexte où la dépendance aux systèmes d’information ne cesse de s’intensifier, la capacité à maintenir ou à rétablir rapidement l’activité en cas d’interruption s’impose désormais comme un enjeu stratégique majeur. Pour KDDI, la mise en place d’un Plan de Continuité d’Activité (PCA) ou d’un Plan de Reprise d’Activité (PRA) constitue bien plus qu’une mesure de précaution : il s’agit d’un véritable levier de résilience et de compétitivité. Ces dispositifs constituent de véritables assurances contre des perturbations de plus en plus fréquentes, qu’il s’agisse de défaillances matérielles, d’erreurs humaines ou encore de cyberattaques ciblées.

Comprendre la différence entre PCA et PRA

Le Plan de Continuité d’Activité (PCA) est un ensemble de mesures et de procédures préventives conçu pour que les applications essentielles d’une entreprise soient en capacité de fonctionner. En cas de sinistre, le PCA assure que les applications essentielles d’une entreprise continuent de fonctionner.

Le Plan de Reprise d’Activité (PRA) intervient quand la continuité n’a pas pu être mise en place ou maintenue. Ce plan se concentre sur la manière de récupérer la production informatique. La sauvegarde des données est au cœur du PRA, car elle fournit les moyens de répliquer et de restaurer les systèmes.

Le PRA s’appuie sur deux indicateurs fondamentaux : le RTO (Recovery Time Objective) est la durée maximale acceptable pour la remise en production après un incident et le RPO (Recovery Point Objective) est la quantité maximale qu’une entreprise peut se permettre de perdre en cas de sinistre.

En cas de sinistre, le PRA assure une reprise d’activité avec une indisponibilité maximale calculée (RTO) et avec une fraicheur de données tolérable (RPO)

Le choix entre un PCA et un PRA dépend souvent de la durée d’indisponibilité tolérable par l’entreprise, des ressources disponibles et du budget associé à ces dispositifs, le PCA étant très généralement plus coûteux et plus complexe à mettre en place que le PRA.

Identifier les risques pour mieux s’y préparer

Les menaces pesant sur l’activité sont nombreuses et souvent sous-estimées. Si les catastrophes naturelles restent rares, leur impact peut être considérable. Mais les dangers les plus fréquents viennent de sources plus proches : la panne ou l’obsolescence d’équipement(s) matériel(s), la panne réseau d’un opérateur, l’erreur ou la négligence humaine, la défaillance d’un prestataire ou encore une cyberattaque conçue pour mettre à l’arrêt une application essentielle.

Sans dispositif solide de continuité ou de reprise, les conséquences peuvent être désastreuses : pertes financières, arrêts de la production, sanctions juridiques ou encore atteinte durable à l’image de l’entreprise.

Les étapes clés pour déployer une stratégie IT prête à affronter les crises La mise en place d’un PCA/PRA est un processus stratégique qui commence par une analyse approfondie de l’entreprise. Cette analyse se déroule en quatre grandes étapes.

 1. Cartographier son infrastructure

La première étape consiste à dresser un inventaire complet du système d’information pour identifier les éléments vitaux et leurs interdépendances. Chaque élément (équipement, application, …) doit être hiérarchisé selon sa criticité : « superflu » pour éléments qui dégradent l’activité sans l’interrompre, « non critique » pour les éléments impactant l’activité sans la mettre en danger, « important » pour les éléments mettant l’activité en péril en cas de panne persistante, « critique » pour les éléments qui mettent l’activité en péril immédiatement et enfin « indispensable » pour les éléments sans lesquels l’entreprise ne peut pas fonctionner.

 2. Évaluer les coûts d’une interruption

Au-delà du chiffre d’affaires perdu, il est nécessaire de considérer également les impacts sur la productivité, les frais de restauration, les coûts matériels, les obligations légales et la réputation. Cette évaluation aide à convaincre la direction de l’importance d’investir dans une stratégie robuste.

 3. Vérifier la faisabilité technique

Le rôle de la sauvegarde : Bien qu’elle soit le cœur du PRA, la sauvegarde est une fondation indispensable pour toute stratégie de continuité.

Des politiques de sauvegarde robustes comme la règle du 3-2-1 (3 copies, 2 supports différents, 1 copie hors site) ou sa version améliorée 3-2-1-1-0 (ajoutant 1 copie hors ligne/déconnectée et 0 erreur de test de restauration) sont essentielles pour se protéger, notamment contre les ransomwares qui ciblent les sauvegardes.

Avant toute mise en œuvre, il est également essentiel d’identifier les ressources disponibles : sites géographiquement séparés, bande passante suffisante pour la réplication, capacité réseau en cas de bascule. Cette étape permet d’anticiper les contraintes et d’ajuster les objectifs RTO et RPO.

 4. Externaliser lorsque nécessaire

Face à ces défis, l’externalisation du PCA/PRA vers un fournisseur de services cloud est une solution recommandée. Des prestataires comme KDDI France proposent des solutions de réplication managée vers leurs datacenters sécurisés, ce qui permet de s’affranchir des limitations matérielles et de bénéficier d’un support expert 24/7. La mutualisation des infrastructures des fournisseurs de services cloud permet d’optimiser les aspects budgétaires liés à ces projets, permettant ainsi d’éviter leur non mise en œuvre en raison des coûts associés.