/fdata%2F1540057%2Favatar-blog-1023731755-tmpphpBxc99P.gif){kind=avatar}
Business : Si la mise en place d’un Plan de Reprise d’Activité au sein d’une DSI est toujours bienvenue, son coût est à évaluer au regard de l’indisponibilité acceptable, entreprise par entreprise. Deux experts détaillent les enjeux techniques, économiques et juridiques des PRA, à l'heure où les assurances se font pressantes.
Guillaume Serries Par Guillaume Serries | Mercredi 18 Février 2015
Le coût des pannes informatiques est le sujet favori des éditeurs de solutions de sécurité. C’est un argument de vente puissant. Même s’il est presque impossible de quantifier l’impact des pannes. Pour se rassurer les DSI peuvent être tentées par la mise en place d’un PRA, soit un Plan de Reprise d’Activité. « Quand un actionnaire met de l’argent dans une société, et que l’IT est un ‘asset’ clé, du point de vue de l’actionnaire, il vaut mieux avoir un plan B » souligne Sylvain Defix de NTT Com Security, société de conseil en sécurité de l’information et en gestion du risque. Il précise : « Il y a une émergence de la notion d’inéluctabilité de l’incident ». L’idée donc : positionner à distance du site de production informatique qui prend le relais en cas de panne sur le site principal. Stockage, serveurs, voire réseau ; tout est ainsi doublé pour prendre la relève en cas de catastrophe. ....
Quel RTO, quel RPO ?
« La question du Plan de Reprise d’Activité, c’est quelle est la durée d’indisponibilité tolérable ? Quelle est la durée maximale que je peux supporter ? » explique Leonard Keat, manager conseil pour Lexsi. « Des fois une semaine, c’est pas grave ». Car mettre en place un PRA ne permet pas une reprise d’activité immédiate. Il permet juste de définir des RTO et RPO acceptables en fonction de l’activité de l’entreprise. Le Recovery Time Objective est la durée maximale d'interruption admissible. Il s'agit du temps maximal acceptable pendant lequel une ressource informatique peut être en panne. Le Recovery Point Objective désigne lui la durée maximum d'enregistrement des données qu'il est acceptable de perdre lors d'une panne. Le fixer revient à bien connaître la volumétrie et les fenêtres de sauvegarde des données. Cela revient en fait à définir des objectifs de sauvegarde du site distant. ....
L'engagement contractuel peut diminuer la pression sur le PRA
« Quand il y a un effondrement des réseaux Orange et SFR, les opérateurs téléphonique sont tellement peu nombreux que le fait d’interrompre 4 heures leur service, c’est économiquement tolérable pour eux. L’impact sur la notoriété est minime » assure Leonard Keat, qui justifie : « Sur le marché des opérateur pour entreprise, le changement d’opérateur est compliqué, la contractualisation est forte, donc changer de opérateur est difficile ». D’où l’importance de bien mesurer les gains et les pertes engendrés par la définition du RTO et du RPO. « C’est une équation économique. Il faut calculer le coût de perte, et le coût d’un projet de PRA, qui peut exploser si on cherche la haute disponibilité ». Car pour certains acteurs, dans la banque et la finance, des contraintes règlementaires (Bâle 2 et Bâle 3) exigent de mettre en place des PRA en haute disponibilité totale, c'est-à-dire avec une reprise d’activité très rapide. « Dans ce cas, réseau, stockage et puissance de calcul, sont positionnés chez des opérateurs différents, et ils répliquent les données en synchrones sur toutes les couches » explique le spécialiste de Lexsi.
Haute disponibilité totale ? Attention à la facture !
Une problématique qui peut littéralement faire exploser les coûts, surtout quand il s’agit de doubler la brique réseau en cas de souci. « Amazon a les moyens de doubler la brique réseau, mais ça coute très cher et c’est pour ça que Oxalide prend le risque » explique Leonard Keat à propos de la panne subie par l’hébergeur de ZDNet.fr il y a quelques semaines. « Deux heures sur un panne réseau, et ils remontent l’infrastructure sans PRA, alors que ce n’est pas la moitié d’une panne ! » admire Leonard Keat. La facture ? « C’est forcément fois deux en équipement, mais la question qui tue est ‘l’infrastructure secondaire est elle toujours active ?’ Car elle peut être dormante, et là il faut le temps de la démarrer en cas de crash sur le premier site » explique Leonard Keat, qui précise : « La vraie haute disponibilité, c’est les deux infrastructures actives et une répartition de charge ». ....
L'impact grandissant des assurances sur les PRA
Côté business, la mise en place des PRA devient aussi un enjeu du côté des assurances, qui sont amenées à couvrir les pertes directes, mais aussi parfois indirectes en cas de problème. « Le premier marché des PRA portait essentiellement sur le champs de la disponibilité, mais cela évolue vers la question de la propriété intellectuelle » confirme Sylvain Defix, qui précise toutefois que « le marché est encore peu mature sur la qualification des risques ». « La recette du Coca-cola n’est pas brevetée car elle pourrait tomber dans le domaine public. ..... Mais la question des pertes se pose également pour les coûts indirects. Dans ce cas, il devient très difficile de déterminer l’impact d’une panne sur le business. Mais je crois que la cyber assurance va se développer ».
Tout l'article sur ZDNet : http://http://www.zdnet.fr/actualites/analyse-un-pra-a-tout-prix-pas-question-39814892.htm
