Ce qui ne doit pas s’arrêter
Identifier les activités essentielles, les clients ou usagers concernés, les obligations contractuelles, les contraintes réglementaires et les impacts financiers ou réputationnels.
PCA · PRA · BIA · Résilience cyber
Organiser la continuité avant que l’incident ne décide à votre place.
Forterys aide les directions, DSI, RSSI, DPO, responsables métiers et fonctions support à transformer les dépendances numériques en décisions de continuité, de reprise et de crise.
Un PCA/PRA efficace ne se limite pas à restaurer des serveurs. Il précise ce qui doit continuer, ce qui peut fonctionner en mode dégradé, qui arbitre, quelles preuves conserver, quels délais accepter et quelles conditions permettent de reprendre l’activité sans aggraver le risque.
BIA métier RTO / RPO Modes dégradés Tests & RETEX
Lecture direction
Le PCA/PRA doit répondre à des arbitrages concrets.
La continuité d’activité cyber devient utile lorsqu’elle relie les impacts métier, les dépendances techniques, les responsabilités et les conditions de reprise.
Ce qui permet de continuer
Cartographier les applications, comptes, prestataires, flux, sauvegardes, accès d’urgence, moyens de communication et ressources humaines nécessaires au maintien minimal.
Ce qui doit être décidé
Définir les priorités de reprise, les seuils de déclenchement, les rôles de crise, les délais acceptables, les modes dégradés et les risques résiduels assumés.
Déclencheurs
Quand structurer ou revoir votre continuité ?
Un PCA/PRA doit être activable avant la crise, mais il doit aussi rester réaliste après un audit, une transformation SI, une exigence client, une tension assurantielle ou un incident.
Messagerie, ERP, facturation, production, téléphonie, accès cloud, support client ou outils métiers sont devenus des points de blocage.
Des dépendances critiques, sauvegardes fragiles, accès non maîtrisés ou prestataires structurants doivent être traduits en trajectoire de continuité.
Un tiers demande des preuves de résilience, de tests, de gouvernance, de reprise ou de maîtrise des incidents cyber.
Une indisponibilité, un compte compromis, une fraude, une fuite ou un ransomware évité révèle un besoin de cadrage et de procédures.
Migration cloud, nouveau prestataire, M365, ERP, rachat, changement d’infogérant ou réorganisation modifient les dépendances de reprise.
La direction doit arbitrer les investissements de sauvegarde, supervision, durcissement, redondance, documentation, tests et assistance de crise.
BIA
Commencer par les impacts métier, pas par les outils.
Le BIA permet de classer les activités selon les conséquences d’interruption et de justifier les objectifs de continuité. C’est le socle qui évite de traiter toutes les applications avec le même niveau d’urgence.
Repères essentiels
BIA, PCA, PRA, RTO et RPO : cinq notions, cinq fonctions distinctes.
Le BIA identifie ce qui est critique. Le PCA organise la continuité en mode dégradé. Le PRA prépare la reprise technique. Les objectifs RTO et RPO fixent les limites acceptables de temps d’arrêt et de perte de données.
PCA, PRA et BIA : distinguer les notions sur la chronologie d’une interruption.
- BIA — Analyse d’impact métier — Identifie les activités critiques, les impacts, les dépendances et les tolérances à l’interruption.
- PCA — Plan de continuité d’activité — Maintient les fonctions essentielles en mode dégradé pendant la crise.
- PRA — Plan de reprise d’activité — Restaure les systèmes, données et services vers un fonctionnement normal.
- RTO — Temps maximal acceptable pour rétablir un service.
- RPO — Perte de données maximale acceptable, exprimée dans le temps.
- À retenir — Le BIA précède et alimente les plans ; le PCA organise la continuité ; le PRA organise la reprise technique ; le RTO et le RPO servent à fixer les objectifs de reprise.
Méthode
Une trajectoire en 7 étapes pour passer du constat au dispositif testable.
Forterys privilégie une approche pragmatique : cadrer, prioriser, documenter, tester, puis améliorer. Le livrable doit pouvoir être utilisé par les décideurs et les opérationnels.
Cadrage
Périmètre, activités concernées, parties prenantes, contraintes, objectifs et niveau de formalisation attendu.
BIA
Impacts, délais acceptables, priorités métier, dépendances critiques et seuils de déclenchement.
Cartographie
Applications, identités, prestataires, sauvegardes, flux, télécoms, postes clés et ressources de crise.
Scénarios
Ransomware, perte M365, indisponibilité ERP, compromission compte critique, fuite de données, prestataire indisponible.
Stratégies
Modes dégradés, contournements, restauration, priorités de reprise, communication, preuves et responsabilités.
Tests
Revue documentaire, exercice de table, test de restauration, simulation de décision, vérification des contacts et accès.
RETEX
Écarts constatés, décisions à prendre, actions correctives, budget, calendrier et maintien en condition opérationnelle.
Arbitrages
Le dispositif doit rendre les décisions plus rapides et plus défendables.
En crise, les informations sont incomplètes. Le PCA/PRA doit donc préparer les décisions : ce que l’on coupe, ce que l’on maintient, ce que l’on restaure d’abord, ce que l’on communique et ce que l’on accepte comme risque résiduel.
Priorité de reprise
Quelles activités doivent revenir en premier, avec quelles conditions minimales et quels comptes ou outils indispensables ?
Mode dégradé
Comment continuer sans l’outil nominal : procédure papier, messagerie alternative, accès restreints, circuit de validation manuel ?
Preuves et responsabilité
Quelles traces conserver, qui valide les décisions, quelles notifications prévoir, quelles hypothèses documenter ?
Risque résiduel
Quel niveau de perte de données, de délai, de service dégradé ou de coût est accepté par la direction ?
Livrables
Des supports utilisables par la direction, l’IT et les métiers.
La documentation doit être assez claire pour décider, assez précise pour agir et assez courte pour être réellement consultée pendant un incident.
Vue direction : activités critiques, risques majeurs, arbitrages, actions prioritaires et budget indicatif.
Activités, impacts, délais d’interruption tolérables, dépendances, ressources minimales et exigences de reprise.
Objectifs de reprise par activité ou application, conditions de validation et points de fragilité.
Perte messagerie, ransomware, indisponibilité ERP, fuite de données, prestataire critique, site inaccessible.
Cellule de crise, communication, sauvegardes, restauration, comptes d’urgence, contacts critiques, conservation de preuves.
Calendrier d’exercices, critères de réussite, écarts observés, actions correctives et maintien en condition opérationnelle.
Avant l’échange
Ce qu’il faut préparer pour cadrer rapidement.
Il n’est pas nécessaire d’avoir un PCA existant. En revanche, quelques éléments accélèrent le diagnostic et évitent un cadrage trop théorique.
Activités critiquesServices, processus, clients ou sites pour lesquels une interruption crée un impact sérieux.
Applications et comptes clésMessagerie, ERP, facturation, production, annuaire, sauvegardes, outils métiers, comptes administrateurs.
Prestataires et dépendancesInfogérant, hébergeur, opérateur, éditeur, banque, paie, cloud, téléphonie, sécurité, support.
Historique d’incidentsIndisponibilités, restaurations difficiles, fraudes, compromissions, pertes d’accès, tests de sauvegarde non concluants.
Contraintes externesExigence client, assurance cyber, marché public, obligation réglementaire, audit, certification ou clause contractuelle.
Prudence
Ce qu’un PCA/PRA ne doit pas promettre.
La résilience cyber exige de la méthode, mais aussi des tests réguliers, des responsabilités claires et des choix assumés. Un document non testé donne une illusion de maîtrise.
Pas de disponibilité garantie. Le dispositif réduit l’improvisation, mais ne supprime ni les incidents, ni les dépendances externes, ni les arbitrages difficiles.
Pas de PRA purement technique. Restaurer un serveur ne suffit pas si les accès, les données, les validations, les métiers ou les prestataires ne sont pas alignés.
Pas de continuité sans maintien. Les contacts, procédures, comptes d’urgence, sauvegardes, droits et scénarios doivent rester à jour.
Questions fréquentes
Avant de lancer un chantier PCA / PRA / BIA.
Ces réponses clarifient le niveau d’entrée, les livrables et les limites d’un accompagnement Forterys.
Le BIA est-il indispensable avant un PCA/PRA ?
Oui, dès que l’organisation veut prioriser objectivement. Le BIA identifie les activités critiques, les impacts d’interruption, les dépendances et les délais de reprise acceptables.
Faut-il commencer par le PCA ou par le PRA ?
On commence par les activités critiques et les impacts métier, puis on traduit ces exigences en objectifs de continuité, de reprise informatique et d’organisation de crise.
Forterys rédige-t-il des procédures directement exploitables ?
Oui. L’objectif est de produire des supports utilisables : cartographie, scénarios, fiches réflexes, matrice RTO/RPO, plan de test et support de comité.
Peut-on travailler sur un périmètre réduit ?
Oui. Le cadrage peut commencer par une activité critique, un site, une application, une direction métier ou un scénario prioritaire.
Un PCA/PRA garantit-il l’absence d’interruption ?
Non. Il améliore la capacité de décision et de reprise, mais il ne supprime pas le risque. Sa valeur dépend des tests, des sauvegardes et du maintien à jour.