Bilan d'impact et analyse des risques
Conduire un BIA (Business Impact Analysis) pour déterminer des RTO et RPO défendables par activité.
À retenir
- Le BIA détermine des RTO/RPO par activité à partir de l'impact métier mesuré, pas de la technique seule.
- RTO, RPO, MTPD et MBCO sont quatre métriques complémentaires à ne pas confondre.
- Le RTO doit être suivi d'un test de faisabilité technique pour être défendable.
- La dépendance à un fournisseur unique est un scénario de risque fréquemment sous-estimé.
Le BIA, colonne vertébrale du SMCA
Le Business Impact Analysis (BIA) quantifie, pour chaque activité, l'impact de son interruption dans le temps. C'est le seul outil qui permette de fixer des RTO (Recovery Time Objective) et RPO (Recovery Point Objective) sur une base objective plutôt qu'arbitraire.
Définitions clés
| Métrique | Définition | Exemple data center |
|---|---|---|
| RTO | Délai maximal tolérable pour restaurer une activité | 15 min pour la supervision, 4 h pour la facturation |
| RPO | Perte de données maximale tolérable, exprimée en temps | 0 pour une base transactionnelle répliquée synchrone, 24 h pour un reporting |
| MTPD | Maximum Tolerable Period of Disruption, seuil de survie de l'organisation | Variable selon activité, souvent > RTO |
| MBCO | Minimum Business Continuity Objective, niveau de service minimal acceptable | 60 % de capacité de traitement des tickets clients |
Point clé
le RTO n'est jamais choisi « techniquement » en premier — il découle de l'impact métier mesuré, puis on vérifie ensuite si l'architecture technique peut l'atteindre, sinon on investit ou on révise l'objectif.
Procédure de conduite d'un BIA
- Lister toutes les activités du périmètre avec leurs propriétaires métier.
- Pour chaque activité, évaluer l'impact (financier, réglementaire, image, sécurité) à T+1h, T+4h, T+24h, T+72h.
- En déduire le RTO au point où l'impact devient inacceptable pour la direction.
- Identifier les ressources critiques nécessaires à la reprise (personnes, systèmes, données, fournisseurs, locaux).
- Croiser avec l'analyse des risques (clause 8.2.3) pour identifier les scénarios de menace les plus probables et leur probabilité/gravité.
- Faire valider les RTO/RPO par les propriétaires métier et la direction.
Attention
un RTO fixé à 4 h sans vérifier que l'infrastructure (sauvegarde, réplication, contrat de maintenance) peut réellement le tenir n'est qu'un vœu pieux — le BIA doit être suivi d'un test de faisabilité technique.
Analyse des risques complémentaire
L'analyse des risques (souvent basée sur ISO 31000) identifie les scénarios : coupure électrique prolongée, incendie, cyberattaque par rançongiciel, défaillance fournisseur télécom unique, pandémie. Chaque scénario est croisé avec les activités du BIA pour prioriser les investissements en résilience.
Sur le terrain
le scénario le plus sous-estimé en data center reste la défaillance d'un fournisseur critique unique (un seul opérateur télécom, un seul fournisseur de pièces détachées onduleur) — le BIA doit explicitement tester la dépendance à un tiers unique.
Astuce
exprimez toujours le RPO en unité de temps et non en volume de données ; cela facilite la conversation avec les équipes de sauvegarde qui raisonnent en fréquence de réplication.
Point clé
un BIA n'est jamais figé : il doit être revu au minimum annuellement et après tout changement majeur d'architecture ou de contrat client.