Lundi, 9 heures. Votre serveur principal ne répond plus. Les mails ne partent pas, l’ERP affiche une page blanche, le site web est inaccessible, les fichiers clients ont disparu. Le téléphone commence à sonner. Personne ne sait exactement quoi faire.
Ce scénario n’a rien d’exceptionnel. Panne matérielle, ransomware, erreur humaine, incendie dans une baie. Les causes sont variées, mais le résultat est toujours le même : l’activité s’arrête. Et chaque heure qui passe coûte de l’argent.
Quelques chiffres qui font réfléchir
- 98 % des entreprises estiment qu’une heure d’indisponibilité coûte plus de 90 000 € (ITIC, 2024)
- 37 % des victimes de ransomwares en France sont des PME, TPE ou ETI (ANSSI, Panorama de la cybermenace 2024)
- L’ANSSI note une augmentation continue des ransomwares ciblant PME et collectivités, avec des temps de rétablissement en semaines quand aucun plan n’existe
Le vrai coût d’une panne
Quand on parle du coût d’une panne, on pense d’abord au chiffre d’affaires perdu. Mais c’est la partie visible. Derrière, il y a tout le reste :
- La réputation. Un client qui ne peut pas accéder à son espace, un partenaire qui attend une facture, un prospect qui tombe sur un site en panne. Chacun repart avec une impression qu’aucune campagne marketing ne rattrapera.
- La perte de données irrécupérables. Des années de fichiers clients, d’historiques de commandes, de mails. Quand c’est parti, c’est parti.
- Le coût humain. L’équipe qui panique, les heures supplémentaires pour rattraper le retard, le stress du dirigeant qui gère la crise sans mode d’emploi.
- Les obligations légales. Le RGPD impose de notifier la CNIL sous 72 heures en cas de violation de données personnelles. Sans PRA, cette notification arrive souvent avec un constat d’impuissance.
Le coût réel d’une panne, ce n’est pas une ligne dans un tableur. C’est la confiance qu’on met des années à construire et qu’on peut perdre en un week-end.
« Ça n’arrive qu’aux autres »
En plus de quinze ans d’hébergement et d’infogérance, on a vu passer beaucoup de configurations. Et les mêmes erreurs reviennent systématiquement :
- Confondre sauvegarde et PRA. « J’ai une sauvegarde, je suis couvert. » Non. Une sauvegarde, c’est une copie de vos données. Un PRA, c’est un plan complet pour remettre votre activité en route. La sauvegarde est un ingrédient. Le PRA est la recette.
- Le NAS sous le bureau. Le serveur de sauvegarde est dans la même pièce que le serveur de production. Dégât des eaux, incendie, cambriolage : vous perdez les deux d’un coup.
- Pas de test de restauration. La sauvegarde tourne toutes les nuits. Personne ne l’a testée depuis six mois. Le jour où on en a besoin, on découvre qu’elle était en erreur depuis trois semaines.
- RTO et RPO inconnus. Le dirigeant ne sait pas combien de temps il faut pour relancer l’activité, ni combien de données seront perdues en cas de sinistre. Parce que personne n’a posé la question.
- Aucune procédure écrite. Le jour J, le premier réflexe est d’appeler « le gars de l’info ». Qui est en congé. Ou qui a quitté l’entreprise.
Les 3 questions à se poser maintenant
Le PRA fait peur parce qu’on imagine un projet complexe et coûteux. En réalité, tout commence par trois questions simples. Si vous ne savez pas y répondre aujourd’hui, c’est le signal qu’il faut s’en occuper.
1. Combien de temps sans IT ?
RTO (Recovery Time Objective) : le temps maximum d’interruption acceptable.
Un cabinet comptable en période fiscale ne tient pas une demi-journée. Un artisan avec un carnet papier peut tenir une semaine. La réponse dépend de votre métier, pas de votre taille.
2. Combien de données perdues ?
RPO (Recovery Point Objective) : la quantité de données que vous acceptez de perdre.
Perdre une journée de commandes e-commerce, c’est inacceptable. Perdre une semaine de fichiers bureautiques mis à jour rarement, c’est peut-être suffisant.
3. Qui fait quoi le jour J ?
La procédure : qui déclenche le plan, qui prévient les clients, qui contacte l’hébergeur, qui valide la reprise.
Pas besoin de 50 pages. Mais sans cette feuille de route, même la meilleure infrastructure ne sert à rien.
Du minimum vital au PRA actif
Il n’y a pas de solution unique. Le bon niveau de protection dépend de vos réponses aux trois questions ci-dessus. Voici les grandes familles, du plus simple au plus robuste :
Sauvegarde externe
Copie régulière vers un site distant. Restauration manuelle sur un nouveau serveur.
Reprise en jours. Et encore, si la restauration a été testée avant.
Snapshots + sauvegarde déportée
Photos instantanées régulières + copie dans un autre datacenter. On repart d’un snapshot récent.
Reprise en heures, perte de données limitée.
PRA actif
Réplication en temps réel sur un site secondaire. Bascule quasi immédiate en cas de défaillance.
Reprise en minutes, perte de données proche de zéro.
Pour comprendre les différences techniques entre ces approches, on a écrit un article dédié.
Par où commencer
Mettre en place un PRA ne veut pas dire tout changer du jour au lendemain. Voici quatre actions concrètes à lancer cette semaine :
- Répondez aux 3 questions ci-dessus. Seul ou avec votre prestataire, en 30 minutes. Notez les réponses noir sur blanc.
- Testez votre sauvegarde. Vraiment. Demandez une restauration complète sur un environnement de test. Si personne ne sait le faire, c’est déjà une réponse.
- Vérifiez où sont vos données. Même salle que le serveur de prod ? Même datacenter ? Même pays ? La règle d’or : 3 copies, 2 supports, 1 hors site.
- Écrivez une procédure d’urgence d’une page. Qui appeler, dans quel ordre, avec quels accès. Imprimez-la. Oui, sur papier. Parce que le jour où tout est en panne, le fichier numérique ne sera pas accessible non plus.
Le PRA n’est pas un luxe, c’est un choix de dirigeant
Le PRA est souvent perçu comme un sujet technique, délégué au prestataire ou au responsable informatique. C’est une erreur. Décider du niveau de protection de son entreprise, c’est une décision de direction. Comme l’assurance incendie : on espère ne jamais s’en servir, mais le jour où ça arrive, c’est trop tard pour souscrire.
Si vous ne savez pas répondre aux trois questions ci-dessus, c’est le bon moment pour en parler. Pas dans six mois. Maintenant.
Pierre