Imaginez ce scénario : un lundi matin, vos systèmes ne répondent plus. Les fichiers sont chiffrés. Votre ERP est inaccessible. Les données clients sont potentiellement exfiltrées. Vos équipes ne peuvent pas travailler. Vos clients commencent à appeler.

Combien de temps votre entreprise peut-elle fonctionner ainsi ? Combien vous coûte chaque heure d’arrêt ? Avez-vous un plan documenté pour reprendre les opérations — et l’avez-vous testé récemment ?

Si vous n’avez pas de réponses claires à ces questions, vous n’avez pas de Plan de reprise après sinistre (DRP — Disaster Recovery Plan). Vous avez une espérance.

Pourquoi le DRP est une priorité stratégique, pas IT

Un DRP est souvent relégué à la liste des « bonnes pratiques TI » que l’on finira par adresser un jour. Cette erreur de catégorisation est coûteuse.

La continuité des opérations après un sinistre est une question de survie d’entreprise. Selon diverses études sectorielles, 40 à 60 % des PME qui subissent un sinistre informatique majeur sans plan de reprise ne rouvrent jamais leurs portes, ou ferment dans les 18 mois suivant l’incident.

Le DRP est donc une décision stratégique qui appartient à la direction — pas une décision technique qui appartient au département TI.

Les deux métriques fondamentales : RTO et RPO

Avant de construire un DRP, vous devez définir vos exigences. Deux métriques structurent cette réflexion :

RTO (Recovery Time Objective) : combien de temps maximum pouvez-vous tolérer avant que vos systèmes critiques soient de nouveau opérationnels ? Pour un détaillant en pleine période des fêtes, peut-être 4 heures. Pour un cabinet-conseil dont les réunions sont gérables sans système pendant quelques jours, peut-être 48 heures.

RPO (Recovery Point Objective) : jusqu’à quel point dans le passé pouvez-vous accepter de perdre des données ? Si votre dernière sauvegarde date d’hier soir et que vous perdez une journée de transactions, c’est acceptable pour votre business ? Si vous gérez des données financières en temps réel, peut-être que le RPO devrait être de moins d’une heure.

Ces deux chiffres définissent votre niveau d’investissement requis en infrastructure de reprise. Un RTO de 4 heures coûte significativement plus cher à atteindre qu’un RTO de 48 heures. Le calcul à faire : le coût de l’infrastructure de reprise versus le coût d’une heure / d’une journée d’arrêt pour votre entreprise.

Les composantes d’un DRP efficace pour PME

Inventaire et classification des systèmes critiques

Listez tous vos systèmes et classifiez-les par criticité pour les opérations :

  • Critique (Tier 1) : arrêt = arrêt des opérations (ERP, système de paiement, outils de communication)
  • Important (Tier 2) : arrêt = impact significatif mais opérations partiellement possibles
  • Standard (Tier 3) : arrêt = inconfort mais pas d’impact sur les revenus

Cette classification détermine l’ordre de priorité de la reprise et le niveau d’investissement alloué à chaque système.

Stratégie de sauvegarde conforme au RPO

La règle des 3-2-1 reste la référence : 3 copies de vos données, sur 2 types de supports différents, dont 1 hors site.

En pratique moderne pour une PME :

  • Sauvegarde locale sur NAS ou serveur de sauvegarde dédié (restauration rapide)
  • Sauvegarde cloud chiffrée synchronisée automatiquement (off-site, résistante aux sinistres locaux)
  • Test de restauration trimestriel obligatoire — une sauvegarde non testée n’est pas une sauvegarde

Le point le plus souvent négligé : les données dans les applications SaaS (Microsoft 365, Salesforce, HubSpot) ne sont pas automatiquement sauvegardées par les fournisseurs au niveau requis pour votre RPO. Des outils de backup spécialisés pour SaaS sont souvent nécessaires.

Procédures de reprise documentées

Un DRP n’est pas un document stratégique de 50 pages que personne ne lira en situation de crise. C’est un ensemble de procédures opérationnelles claires, testées, accessibles sans accès aux systèmes compromis (donc stockées hors ligne ou dans le cloud).

Pour chaque système Tier 1, documentez :

  • La procédure de restauration étape par étape, avec les commandes exactes
  • Les contacts (fournisseurs, hébergeurs, support) avec numéros de téléphone directs
  • Les identifiants d’urgence (stockés hors des systèmes compromis)
  • L’ordre de reprise des systèmes (certains dépendent d’autres)

Plan de communication de crise

La reprise technique n’est que la moitié du problème. Pendant qu’elle se déroule, qui communique avec vos clients ? Vos fournisseurs ? Vos employés ? Vos assureurs ? Vos avocats ?

Répondez à ces questions avant la crise : qui est porte-parole ? Quel est le message initial ? Quels canaux utilise-t-on si les systèmes internes sont compromis ? À quel moment déclare-t-on l’incident à la Commission d’accès à l’information si des données personnelles sont impliquées (délai de 72 heures selon la Loi 25) ?

Tester le plan : l’étape que tout le monde reporte

Un DRP qui n’a jamais été testé est une fiction documentée. Les tests révèlent invariablement des lacunes : des sauvegardes corrompues, des procédures obsolètes, des identifiants expirés, des dépendances non documentées.

Trois niveaux de test, par ordre croissant de rigueur :

Test de révision (annuel) : l’équipe clé parcourt le document et vérifie que les informations sont à jour.

Test de composante (semestriel) : restauration réelle d’un système non critique depuis la sauvegarde, dans un environnement isolé. Chronométrage versus le RTO cible.

Test de basculement complet (tous les 2-3 ans) : simulation d’un scénario de sinistre réel, avec basculement vers l’environnement de reprise pour une demi-journée d’opérations. C’est le seul test qui valide vraiment l’ensemble du plan.

Le rôle du CIO fractionnel dans le DRP

Un CIO fractionnel apporte deux contributions distinctives au DRP : la capacité à définir des RTO et RPO ancrés dans la réalité du business (et non des objectifs idéaux non finançables), et l’expérience de ce qui fonctionne réellement en situation de crise versus ce qui fonctionne en théorie.

Un plan de reprise n’élimine pas les sinistres. Il détermine si votre entreprise survit à l’inévitable — ou devient une statistique.