Stratégies, plans et ressources
Choisir des stratégies de continuité proportionnées et structurer les plans documentés (PCA, PRA, plan de crise).
À retenir
- Le choix de stratégie (actif-actif, hot/warm/cold site) doit être proportionné au RTO réel, pas maximaliste.
- PCA, PRA, plan de crise et plan de communication sont des documents complémentaires distincts.
- Un plan non testé n'a pas de valeur probante en audit ISO 22301.
- Les ressources humaines, techniques et contractuelles doivent toutes être sécurisées, pas seulement les systèmes.
Du BIA à la stratégie
Une fois les RTO/RPO fixés, l'organisation doit choisir des stratégies de continuité capables de les tenir, à un coût proportionné au risque. Il n'existe pas de stratégie universelle : le choix dépend du RTO cible, du budget et de la criticité réglementaire.
Options de stratégie de continuité (site et infrastructure)
| Stratégie | RTO atteignable | Coût relatif | Cas d'usage |
|---|---|---|---|
| Site actif-actif (multi-site synchrone) | Quasi nul (< 1 min) | Très élevé | Services critiques réglementés (finance, santé) |
| Site de secours chaud (hot site) | Minutes à 1 h | Élevé | Activités à fort impact, RTO court |
| Site de secours tiède (warm site) | Quelques heures | Modéré | Activités importantes, RTO 4-24 h |
| Site de secours froid (cold site) | Plusieurs jours | Faible | Activités secondaires, RTO > 72 h |
| Reconstruction / achat d'urgence | Jours à semaines | Variable | Activités non critiques |
Point clé
une stratégie surdimensionnée par rapport au RTO réel gaspille un budget qui devrait financer les activités réellement critiques ; le proportionnement est une exigence explicite de l'ISO 22301 (clause 8.3).
Structure documentaire des plans
- Politique de continuité : engagement de la direction (clause 5.2).
- PCA (Plan de Continuité d'Activité) : organisation, rôles, procédures pour maintenir les activités essentielles.
- PRA (Plan de Reprise d'Activité) : procédures techniques de bascule et de restauration des systèmes.
- Plan de gestion de crise : cellule de crise, communication interne/externe, remontée d'alerte.
- Plan de communication : messages pré-rédigés pour clients, autorités, médias selon scénario.
Attention
un plan documenté mais jamais testé n'a aucune valeur probante en audit ISO 22301 — la clause 8.5 exige des procédures de réponse structurées, mais c'est la clause 8.6 (exercices) qui en démontre l'efficacité réelle.
Ressources à sécuriser
- Personnes : identifier au moins deux suppléants formés par rôle critique.
- Systèmes et données : sauvegardes testées, réplication vérifiée selon le RPO cible.
- Locaux alternatifs : accès physique testé, pas seulement contractualisé.
- Fournisseurs et partenaires : clauses de continuité incluses dans les contrats critiques.
Sur le terrain
l'erreur la plus fréquente est de documenter un plan de reprise sur un site de secours dont l'accès (badges, clés, VPN) n'a jamais été testé par l'équipe qui devra réellement s'y rendre en situation de crise.
Astuce
conservez une version papier et hors-ligne des plans de crise critiques — un PCA stocké uniquement sur l'intranet devient inaccessible si l'incident touche justement le réseau interne.
Point clé
la gouvernance documentaire doit prévoir une revue et une mise à jour à chaque changement significatif (nouveau client majeur, nouveau site, nouvelle réglementation), pas seulement lors de l'audit annuel.